שילוב של CrowdStrike Falcon עם Google SecOps

במאמר הזה מוסבר איך לשלב את CrowdStrike Falcon עם Google Security Operations.

השילוב הזה משתמש ברכיב אחד או יותר של קוד פתוח. אפשר להוריד עותק של קוד המקור המלא של השילוב הזה מקטגוריית Cloud Storage.

תרחישים לדוגמה

בפלטפורמת Google SecOps, השילוב של CrowdStrike Falcon פותר את תרחישי השימוש הבאים:

• הכלה אוטומטית של תוכנות זדוניות: שימוש ביכולות של פלטפורמת Google SecOps כדי להכניס אוטומטית להסגר את נקודת הקצה המושפעת, לאחזר את הגיבוב של הקובץ לצורך ניתוח נוסף ולמנוע את התפשטות התוכנה הזדונית. ההכלה האוטומטית של תוכנות זדוניות מופעלת כשאימייל פישינג מפעיל התראה ב-CrowdStrike Falcon על הורדה של קובץ חשוד.

• תגובה מהירה לאירועים: אפשר להשתמש ב-Google SecOps כדי לאסוף נתונים הקשריים כמו עצי תהליכים וחיבורי רשת, לבודד את המארח שנפרץ וליצור כרטיס לצורך חקירה.

• איתור איומים וחקירה: אפשר להשתמש ביכולות של פלטפורמת Google SecOps כדי לשלוח שאילתות ל-CrowdStrike Falcon לגבי פעולות ספציפיות של משתמשים, שינויים בקבצים וחיבורים לרשת במהלך תקופה מוגדרת. האפשרות 'איתור איומים וחקר איומים' מאפשרת לנתח אבטחה לחקור איום פנימי פוטנציאלי ולנתח פעילות היסטורית של נקודת קצה, תוך ייעול תהליך החקירה.

• תגובה לניסיונות פישינג ותיקון: שימוש ב-CrowdStrike Falcon ובפלטפורמת Google SecOps כדי לסרוק את הקבצים המצורפים לאימייל, לפתוח אותם בסביבת ארגז חול ולחסום באופן אוטומטי את כתובת האימייל של השולח אם מזוהה פעילות זדונית.

• ניהול נקודות חולשה: אפשר להשתמש ביכולות של פלטפורמת Google SecOps כדי ליצור באופן אוטומטי כרטיסי תמיכה לכל מערכת פגיעה, לתעדף אותם על סמך חומרת הפגיעה וערך הנכס, ולהפעיל תהליכי עבודה אוטומטיים לתיקון. הכלי לניהול נקודות חולשה עוזר לכם לזהות נקודת חולשה קריטית בכמה נקודות קצה.

לפני שמתחילים

לפני שמגדירים את השילוב ב-Google SecOps, צריך לבצע את השלבים הבאים:

1. מגדירים את לקוח CrowdStrike Falcon API.

2. מגדירים את הרשאות הפעולה.

3. הגדרת הרשאות למחבר.

הגדרת לקוח ה-API של CrowdStrike Falcon

כדי להגדיר לקוח CrowdStrike API ולצפות בלקוחות או במפתחות API, ליצור אותם או לשנות אותם, צריך להיות לכם תפקיד FalconAdministrator.

ערכי הסוד מוצגים רק כשיוצרים לקוח API חדש או מאפסים את לקוח ה-API.

כדי להגדיר את לקוח CrowdStrike Falcon API, פועלים לפי השלבים הבאים:

1. בממשק המשתמש של Falcon, עוברים אל Support and resources (תמיכה ומשאבים) > Resources and tools (משאבים וכלים) > API clients and keys (לקוחות ומפתחות API). בדף הזה אפשר לראות לקוחות קיימים, להוסיף לקוחות חדשים של API או לראות את יומן הביקורת.
2. לוחצים על Create API Client (יצירת לקוח API).
3. מזינים שם ללקוח ה-API החדש.
4. בוחרים את היקפי ה-API המתאימים.

5. לוחצים על יצירה. יופיעו הערכים של מזהה הלקוח והסוד של הלקוח.

   זו הפעם היחידה שבה מוצג ערך הסוד של הלקוח. חשוב לאחסן אותו באופן מאובטח. אם סוד הלקוח אבד, צריך לאפס את לקוח ה-API ולעדכן את כל האפליקציות שמסתמכות על סוד הלקוח באמצעות פרטי כניסה חדשים.

פרטים נוספים על גישה ל-CrowdStrike API זמינים במדריך Getting Access to the CrowdStrike API בבלוג של CrowdStrike.

הגדרת הרשאות לפעולות

בטבלה הבאה מפורטות ההרשאות המינימליות לפעולות:

פעולה	ההרשאות הנדרשות
הוספת תגובה לזיהוי	Detections.Read Detection.Write
הוספת תגובה לזיהוי של Identity Protection	Alerts.Read Alerts.Write
הוספת תגובה לאירוע	Incidents.Write
זיהוי סגירה	Detections.Read Detection.Write
Contain Endpoint	Hosts.Read Hosts.Write
מחיקת IOC	IOC Management.Read IOC Management.Write
הורדת הקובץ	Hosts.Read Real time response.Read Real time response.Write
הרצת פקודה	‫Hosts.Read Real time response.Read Real time response.Write Real time response (admin).Write* לפקודות עם הרשאות מלאות.
קבלת היסט של אירוע	Event streams.Read
קבלת מארחים לפי IOC	לא זמין: הוצא משימוש
קבלת פרטי המארח	Hosts.Read
קבלת שם תהליך לפי IOC	לא זמין: הוצא משימוש
נקודת קצה (endpoint) שכלולה בעלייה	Hosts.Read Hosts.Write
הצגת רשימה של מארחים	Hosts.Read
הצגת רשימה של נקודות חולשה במארח	Hosts.Read Spotlight vulnerabilities.Read
הצגת רשימה של אינדיקטורים של פריצות (IOC) שהועלו	IOC Management.Read
סריקה על פי דרישה	On-demand scans (ODS).Read On-demand scans (ODS).Write
פינג	Hosts.Read
שליחת קובץ	Reports (Falcon Intelligence).Read Sandbox (Falcon Intelligence).Read Sandbox (Falcon Intelligence).Write
שליחת כתובת URL	Reports (Falcon Intelligence).Read Sandbox (Falcon Intelligence).Read Sandbox (Falcon Intelligence).Write
עדכון הזיהוי	Detections.Read Detection.Write User management.Read
עדכון של זיהוי הגנה על הזהות	Alerts.Read Alerts.Write
עדכון אירוע	Incidents.Write
עדכון פרטי ה-IOC	IOC Management.Read IOC Management.Write
העלאת IOC	IOC Management.Read IOC Management.Write

הגדרת הרשאות למחבר

בטבלה הבאה מפורטות ההרשאות המינימליות לחיבורים:

מחבר	ההרשאות הנדרשות
מחבר CrowdStrike Detections	Detection.Read
מחבר CrowdStrike Falcon Streaming Events	Event streams.Read
מחבר CrowdStrike Identity Protection Detections	Alerts.Read
מחבר אירועים של CrowdStrike	Incidents.Read

נקודות קצה

השילוב עם CrowdStrike Falcon מתקשר עם נקודות הקצה הבאות של CrowdStrike Falcon API:

נקודות קצה כלליות של API:

• /oauth2/token

מארחים ומכשירים:

• /devices/entities/devices/v1
• /devices/entities/devices-actions/v2

זיהויים ואירועים:

• /detections/entities/detections/v2
• /detections/entities/summaries/GET/v1
• /protection/entities/detections/v1

אינדיקטורים לפריצה (IOC):

• /intel/entities/indicators/v1
• /intel/queries/devices/v1

נקודות חולשה:

• /devices/combined/devices/vulnerabilities/v1

תגובה ובידוד:

• /respond/entities/command-queues/v1
• /respond/entities/extracted-files/v1

אירועים:

• /incidents/entities/incidents/GET/v1
• /incidents/entities/incidents/comments/GET/v1
• /incidents/entities/incidents/GET/v1

ניתוח קבצים וכתובות URL:

• /malware-uploads/entities/submissions/v2
• /url/entities/scans/v1

פרמטרים של שילוב

כדי שהשילוב יפעל בצורה תקינה, נדרשת גרסת פרימיום של CrowdStrike Falcon עם יכולות מלאות. פעולות מסוימות לא פועלות עם גרסה בסיסית של CrowdStrike Falcon.

השילוב עם CrowdStrike Falcon דורש את הפרמטרים הבאים:

פרמטרים
API Root	שורש ה-API של מופע CrowdStrike. ערך ברירת המחדל הוא https://api.crowdstrike.com
Client API ID	חובה מזהה הלקוח של CrowdStrike API.
Client API Secret	חובה סוד הלקוח של CrowdStrike API.
Verify SSL	אם בוחרים באפשרות הזו, האינטגרציה בודקת אם אישור ה-SSL לחיבור לשרת CrowdStrike Falcon תקף. האפשרות הזו לא מסומנת כברירת מחדל.
Customer ID	אופציונלי מספר הלקוח של הדייר שבו יופעל השילוב. לשימוש בסביבות Multi-tenant ‏ (MSSP).

הוראות מפורטות להגדרת שילוב ב-Google SecOps מופיעות במאמר הגדרת שילובים.

במקרה הצורך, אפשר לבצע שינויים בשלב מאוחר יותר. אחרי שמגדירים מופע של שילוב, אפשר להשתמש בו ב-playbooks. מידע נוסף על הגדרת מופעים מרובים ותמיכה בהם זמין במאמר בנושא תמיכה במופעים מרובים.

פעולות

לפני שממשיכים בהגדרת השילוב, צריך להגדיר את ההרשאות המינימליות שנדרשות לכל פריט שילוב. פרטים נוספים זמינים בקטע הרשאות לפעולות במסמך הזה.

הוספת הערה להתראה

משתמשים בפעולה Add Alert Comment כדי להוסיף תגובה להתראה ב-CrowdStrike Falcon.

הפעולה הזו לא מופעלת בישויות.

הוספת נתונים לפעולה

הפעולה Add Alert Comment (הוספת תגובה להתראה) דורשת את הפרמטרים הבאים:

פרמטרים
Alert	חובה המזהה של ההתראה שרוצים לעדכן.
Comment	חובה התגובה שרוצים להוסיף להתראה.

פלט של פעולות

הפעולה Add Alert Comment (הוספת תגובה להתראה) מספקת את הפלט הבא:

סוג הפלט של הפעולה	זמינות
קיר עם תושבת	לא זמין
קישור לקיר של הפנייה	לא זמין
טבלת בקשות תמיכה	לא זמין
טבלת העשרה	לא זמין
תוצאה בפורמט JSON	לא זמין
הודעות פלט	יש גישה
תוצאת הסקריפט	יש גישה

הודעות פלט

הפעולה Add Alert Comment מספקת את הודעות הפלט הבאות:

הודעת פלט	תיאור ההודעה
Successfully added comment to the alert with ID ALERT_ID in CrowdStrike	הפעולה הסתיימה בהצלחה.
Error executing action "Add Alert Comment". Reason: ERROR_REASON Error executing action "Add Alert Comment". Reason: alert with ID ALERT_ID wasn't found in CrowdStrike. Please check the spelling.	הפעולה נכשלה. צריך לבדוק את החיבור לשרת, את פרמטרי הקלט או את פרטי הכניסה.

תוצאת הסקריפט

בטבלה הבאה מפורטים הערכים של פלט התוצאה של הסקריפט כשמשתמשים בפעולה Add Alert Comment:

שם התוצאה של הסקריפט	ערך
is_success	True או False

הוספת תגובה לזיהוי – הוצא משימוש

הוצא משימוש: הפעולה הזו הוצאה משימוש. במקום זאת, צריך להשתמש בפעולה הוספת תגובה להתראה.

משתמשים בפעולה Add Comment to Detection כדי להוסיף תגובה לזיהוי ב-CrowdStrike Falcon.

הפעולה הזו מופעלת בכל הישויות.

הוספת נתונים לפעולה

הפעולה Add Comment to Detection (הוספת תגובה לזיהוי) דורשת את הפרמטרים הבאים:

פרמטר	תיאור
Detection ID	חובה. המזהה של הזיהוי שאליו רוצים להוסיף תגובה.
Comment	חובה. התגובה שרוצים להוסיף לגילוי.

פלט של פעולות

הפעולה Add Comment to Detection מספקת את הפלטים הבאים:

סוג הפלט של הפעולה	זמינות
קיר עם תושבת	לא זמין
קישור לקיר של הפנייה	לא זמין
טבלת בקשות תמיכה	לא זמין
טבלת העשרה	לא זמין
תוצאה בפורמט JSON	לא זמין
תוצאת הסקריפט	יש גישה

תוצאת הסקריפט

בטבלה הבאה מפורטים הערכים של פלט התוצאה של הסקריפט כשמשתמשים בפעולה Add Comment to Detection:

שם התוצאה של הסקריפט	ערך
is_success	true או false

הוספת תגובה לזיהוי של Identity Protection

משתמשים בפעולה Add Identity Protection Detection Comment כדי להוסיף תגובה לזיהוי של הגנת הזהות ב-CrowdStrike.

כדי לבצע את הפעולה הזו צריך רישיון ל-Identity Protection.

הפעולה הזו לא מופעלת בישויות.

הוספת נתונים לפעולה

הפעולה Add Identity Protection Detection Comment דורשת את הפרמטרים הבאים:

פרמטרים
Detection ID	חובה המזהה של הזיהוי שרוצים לעדכן.
Comment	חובה התגובה שרוצים להוסיף לגילוי.

פלט של פעולות

הפעולה Add Identity Protection Detection Comment מספקת את הפלטים הבאים:

סוג הפלט של הפעולה
קיר עם תושבת	לא זמין
קישור לקיר של הפנייה	לא זמין
טבלת בקשות תמיכה	לא זמין
טבלת העשרה	לא זמין
תוצאה בפורמט JSON	לא זמין
הודעות פלט	יש גישה
תוצאת הסקריפט	יש גישה

הודעות פלט

הפעולה Add Identity Protection Detection Comment מספקת את הודעות הפלט הבאות:

הודעת פלט	תיאור ההודעה
Successfully added comment to the identity protection detection with ID DETECTION_ID in CrowdStrike	הפעולה הסתיימה בהצלחה.
Error executing action "Add Identity Protection Detection Comment". Reason: ERROR_REASON	הפעולה נכשלה. צריך לבדוק את החיבור לשרת, את פרמטרי הקלט או את פרטי הכניסה.
Error executing action "Add Identity Protection Detection Comment". Reason: identity protection detection with ID DETECTION_ID wasn't found in CrowdStrike. Please check the spelling.	הפעולה נכשלה. מומלץ לבדוק את האיות.

תוצאת הסקריפט

בטבלה הבאה מפורטים הערכים של פלט התוצאה של הסקריפט כשמשתמשים בפעולה הוספת הערה לגבי זיהוי הגנה על זהות:

שם התוצאה של הסקריפט	ערך
is_success	True או False

הוספת תגובה לאירוע – הוצא משימוש

הוצאה משימוש: הפעולה הזו הוצאה משימוש. במקום זאת, צריך להשתמש בפעולה עדכון התראה.

משתמשים בפעולה Add Incident Comment כדי להוסיף תגובה לאירוע ב-CrowdStrike.

הפעולה הזו לא מופעלת בישויות.

הוספת נתונים לפעולה

הפעולה Add Incident Comment (הוספת תגובה לאירוע) דורשת את הפרמטרים הבאים:

פרמטר	תיאור
Incident ID	חובה. מזהה התקרית שרוצים לעדכן.
Comment	חובה. התגובה שרוצים להוסיף לאירוע.

פלט של פעולות

הפעולה Add Incident Comment מספקת את הפלטים הבאים:

סוג הפלט של הפעולה	זמינות
קיר עם תושבת	לא זמין
קישור לקיר של הפנייה	לא זמין
טבלת בקשות תמיכה	לא זמין
טבלת העשרה	לא זמין
תוצאה בפורמט JSON	לא זמין
הודעות פלט	יש גישה
תוצאת הסקריפט	יש גישה

הודעות פלט

הפעולה Add Incident Comment (הוספת תגובה לאירוע) מספקת את הודעות הפלט הבאות:

הודעת פלט	תיאור ההודעה
Successfully added comment to the incident INCIDENT_ID in CrowdStrike	הפעולה הסתיימה בהצלחה.
Error executing action "Add Incident Comment". Reason: ERROR_REASON	הפעולה נכשלה. צריך לבדוק את החיבור לשרת, את פרמטרי הקלט או את פרטי הכניסה.
Error executing action "Add Incident Comment". Reason: incident with ID INCIDENT_ID wasn't found in CrowdStrike. Please check the spelling.	הפעולה נכשלה. מומלץ לבדוק את האיות.

תוצאת הסקריפט

בטבלה הבאה מפורטים הערכים של פלט התוצאה של הסקריפט כשמשתמשים בפעולה Add Incident Comment:

שם התוצאה של הסקריפט	ערך
is_success	True או False

זיהוי קרבה – הוצא משימוש

הוצא משימוש: הפעולה הזו הוצאה משימוש. במקום זאת, צריך להשתמש בפעולה Update Alert.

משתמשים בפעולה Close Detection כדי לסגור זיהוי של CrowdStrike Falcon.

הערה: הפעולה Update Alert היא השיטה המומלצת לתרחיש השימוש הזה, וצריך להשתמש בה במקום בפעולה הזו על ידי ציון הסטטוס המתאים.

הפעולה הזו מופעלת בכל הישויות.

הוספת נתונים לפעולה

הפעולה Close Detection דורשת את הפרמטרים הבאים:

פרמטר	תיאור
Detection ID	חובה. המזהה של הזיהוי שרוצים לסגור.
Hide Detection	זה שינוי אופציונלי. אם בוחרים באפשרות הזו, הפעולה מסתירה את הזיהוי בממשק המשתמש. האפשרות הזו מסומנת כברירת מחדל.

פלט של פעולות

הפעולה Close Detection מספקת את הפלט הבא:

סוג הפלט של הפעולה	זמינות
קיר עם תושבת	לא זמין
קישור לקיר של הפנייה	לא זמין
טבלת בקשות תמיכה	לא זמין
טבלת העשרה	לא זמין
תוצאה בפורמט JSON	לא זמין
תוצאת הסקריפט	יש גישה

תוצאת הסקריפט

בטבלה הבאה מפורטים הערכים של פלט התוצאה של הסקריפט כשמשתמשים בפעולה Close Detection:

שם התוצאה של הסקריפט	ערך
is_success	True או False

Contain Endpoint

משתמשים בפעולה Contain Endpoint כדי להכיל נקודת קצה ב-CrowdStrike Falcon.

הפעולה הזו מופעלת בישויות הבאות:

• כתובת IP
• שם המארח

הוספת נתונים לפעולה

הפעולה Contain Endpoint דורשת את הפרמטרים הבאים:

פרמטרים
Customer ID	אופציונלי מציינים את מזהה הלקוח שעבורו רוצים לבצע את הפעולה.
Device ID	אופציונלי רשימה של מזהי מכשירים מופרדים בפסיקים שבהם רוצים להפעיל את הפעולה. הערה: הפעולה מבוצעת גם על הישויות שמצורפות לתיק וגם על ערכי הפרמטרים האלה.
Fail If Timeout	אופציונלי אם בוחרים את האפשרות הזו ולא כל נקודות הקצה נכללות, הפעולה נכשלת. האפשרות הזו מסומנת כברירת מחדל.

פלט של פעולות

הפעולה Contain Endpoint מספקת את הפלט הבא:

סוג הפלט של הפעולה
קיר עם תושבת	לא זמין
קישור לקיר של הפנייה	לא זמין
טבלת בקשות תמיכה	לא זמין
טבלת העשרה של ישויות	יש גישה
תוצאה בפורמט JSON	יש גישה
הודעות פלט	יש גישה
תוצאת הסקריפט	יש גישה

העשרה של ישויות

הפעולה Contain Endpoint תומכת בלוגיקה הבאה להעשרת ישויות:

שדה העשרה	לוגיקה
status	הפונקציה מחזירה ערך אם הוא קיים בתוצאת ה-JSON
modified_timestamp	הפונקציה מחזירה ערך אם הוא קיים בתוצאת ה-JSON
major_version	הפונקציה מחזירה ערך אם הוא קיים בתוצאת ה-JSON
policies	הפונקציה מחזירה ערך אם הוא קיים בתוצאת ה-JSON
config_id_platform	הפונקציה מחזירה ערך אם הוא קיים בתוצאת ה-JSON
bios_manufacturer	הפונקציה מחזירה ערך אם הוא קיים בתוצאת ה-JSON
system_manufacturer	הפונקציה מחזירה ערך אם הוא קיים בתוצאת ה-JSON
device_policies	הפונקציה מחזירה ערך אם הוא קיים בתוצאת ה-JSON
meta	הפונקציה מחזירה ערך אם הוא קיים בתוצאת ה-JSON
pointer_size	הפונקציה מחזירה ערך אם הוא קיים בתוצאת ה-JSON
last_seen	הפונקציה מחזירה ערך אם הוא קיים בתוצאת ה-JSON
agent_local_time	הפונקציה מחזירה ערך אם הוא קיים בתוצאת ה-JSON
first_seen	הפונקציה מחזירה ערך אם הוא קיים בתוצאת ה-JSON
service_pack_major	הפונקציה מחזירה ערך אם הוא קיים בתוצאת ה-JSON
slow_changing_modified_timestamp	הפונקציה מחזירה ערך אם הוא קיים בתוצאת ה-JSON
service_pack_minor	הפונקציה מחזירה ערך אם הוא קיים בתוצאת ה-JSON
system_product_name	הפונקציה מחזירה ערך אם הוא קיים בתוצאת ה-JSON
product_type_desc	הפונקציה מחזירה ערך אם הוא קיים בתוצאת ה-JSON
build_number	הפונקציה מחזירה ערך אם הוא קיים בתוצאת ה-JSON
cid	הפונקציה מחזירה ערך אם הוא קיים בתוצאת ה-JSON
local_ip	הפונקציה מחזירה ערך אם הוא קיים בתוצאת ה-JSON
external_ip	הפונקציה מחזירה ערך אם הוא קיים בתוצאת ה-JSON
hostname	הפונקציה מחזירה ערך אם הוא קיים בתוצאת ה-JSON
config_id_build	הפונקציה מחזירה ערך אם הוא קיים בתוצאת ה-JSON
minor_version	הפונקציה מחזירה ערך אם הוא קיים בתוצאת ה-JSON
platform_id	הפונקציה מחזירה ערך אם הוא קיים בתוצאת ה-JSON
os_version	הפונקציה מחזירה ערך אם הוא קיים בתוצאת ה-JSON
config_id_base	הפונקציה מחזירה ערך אם הוא קיים בתוצאת ה-JSON
provision_status	הפונקציה מחזירה ערך אם הוא קיים בתוצאת ה-JSON
mac_address	הפונקציה מחזירה ערך אם הוא קיים בתוצאת ה-JSON
bios_version	הפונקציה מחזירה ערך אם הוא קיים בתוצאת ה-JSON
platform_name	הפונקציה מחזירה ערך אם הוא קיים בתוצאת ה-JSON
agent_load_flags	הפונקציה מחזירה ערך אם הוא קיים בתוצאת ה-JSON
device_id	הפונקציה מחזירה ערך אם הוא קיים בתוצאת ה-JSON
product_type	הפונקציה מחזירה ערך אם הוא קיים בתוצאת ה-JSON
agent_version	הפונקציה מחזירה ערך אם הוא קיים בתוצאת ה-JSON

תוצאה בפורמט JSON

בדוגמה הבאה מתואר פלט התוצאה בפורמט JSON שמתקבל כשמשתמשים בפעולה Contain Endpoint:

{
  "EntityResult":
    {
      "status": "contained",
      "modified_timestamp": "2019-06-24T07:47:37Z",
      "major_version": "6",
      "policies":
        [{
           "applied": "True",
           "applied_date": "2019-04-29T07:40:06.876850888Z",
           "settings_hash": "ce17279e",
           "policy_type": "prevention",
           "assigned_date": "2019-04-29T07:39:55.218651583Z",
           "policy_id": ""
         }],
      "config_id_platform": "3",
      "bios_manufacturer": "Example Inc.",
      "system_manufacturer": "Example Corporation",
      "device_policies":
         {
            "global_config":
               {
                 "applied": "True",
                 "applied_date": "2019-06-03T23:24:04.893780991Z",
                 "settings_hash": "a75911b0",
                 "policy_type": "globalconfig",
                 "assigned_date": "2019-06-03T23:23:17.184432743Z",
                 "policy_id": ""
                },
            "Sensor_update":
               {
                 "applied": "True",
                 "applied_date": "2019-05-30T23:13:55.23597658Z",
                 "settings_hash": "65994753|3|2|automatic;101",
                 "uninstall_protection": "ENABLED",
                 "policy_type": "sensor-update",
                 "assigned_date": "2019-05-30T23:04:31.485311459Z",
                 "policy_id": ""
                },
            "prevention":
               {
                 "applied": "True",
                 "applied_date": "2019-04-29T07:40:06.876850888Z",
                 "settings_hash": "ce17279e",
                 "policy_type": "prevention",
                 "assigned_date": "2019-04-29T07:39:55.218651583Z",
                 "policy_id": ""
                },
            "device_control":
                {
                  "applied": "True",
                  "applied_date": "2019-06-03T23:14:29.800434222Z",
                  "policy_type": "device-control",
                  "assigned_date": "2019-06-03T23:05:17.425127539Z",
                  "policy_id": ""
                 },
            "remote_response":
                {
                  "applied": "True",
                  "applied_date": "2019-04-29T07:40:04.469808388Z",
                  "settings_hash": "f472bd8e",
                  "policy_type": "remote-response",
                  "assigned_date": "2019-04-29T07:39:55.218642441Z",
                  "policy_id": ""
                 }
          },
       "meta":
          {
            "Version":"12765"
          },
       "pointer_size": "8",
       "last_seen": "2019-06-24T07:45:34Z",
       "agent_local_time": "2019-06-18T12:17:06.259Z",
       "first_seen": "2019-04-29T07:39:45Z",
       "service_pack_major": "0",
       "slow_changing_modified_timestamp": "2019-06-23T11:20:42Z",
       "service_pack_minor": "0",
       "system_product_name": "Virtual Machine",
       "product_type_desc": "Server",
       "build_number": "9600",
       "cid": "123456789abcdef123456789abcdef12",
       "local_ip": "192.0.2.1",
       "external_ip": "203.0.113.1",
       "hostname": "",
       "config_id_build": "example-id",
       "minor_version": "3",
       "platform_id": "x",
       "os_version": "Windows Server 2012 R2",
       "config_id_base": "example-config",
       "provision_status": "Provisioned",
       "mac_address": "01:23:45:ab:cd:ef",
       "bios_version": "090007 ",
       "platform_name": "Windows",
       "Agent_load_flags":"1",
       "device_id": "",
       "product_type": "3",
       "agent_version": "5.10.9106.0"
     },
   "Entity": "198.51.100.255"
}

הודעות פלט

הפעולה Contain Endpoint מספקת את הודעות הפלט הבאות:

הודעת פלט	תיאור ההודעה
Successfully contained the following endpoints in CrowdStrike Falcon: ENTITY_ID The following endpoints were already contained in CrowdStrike Falcon: ENTITY_ID The following endpoints were not found in CrowdStrike Falcon: ENTITY_ID	הפעולה הסתיימה בהצלחה.
Error executing action "Contain Endpoint". Reason: ERROR_REASON	הפעולה נכשלה. צריך לבדוק את החיבור לשרת, את פרמטרי הקלט או את פרטי הכניסה.
Error executing action "Contain Endpoint". Reason: the following endpoints initiated containment, but were not able to finish it during action execution: ENTITY_ID	הפעולה נכשלה. בודקים את הסטטוס של נקודת הקצה ואת ערך הפרמטר Fail If Timeout.

תוצאת הסקריפט

בטבלה הבאה מפורטים הערכים של פלט התוצאה של הסקריפט כשמשתמשים בפעולה Contain Endpoint:

שם התוצאה של הסקריפט	ערך
is_success	True או False

מחיקת IOC

משתמשים בפעולה Delete IOC כדי למחוק IOC בהתאמה אישית ב-CrowdStrike Falcon.

בפעולה הזו, יש התייחסות לישויות של שם המארח כאל IOC של דומיין, והיא מחלצת את החלק של הדומיין מכתובות URL. הפעולה הזו תומכת רק בגיבובים מסוג MD5 ו-SHA-256.

הפעולה מחיקת IOC מופעלת על הישויות הבאות:

• כתובת IP
• שם המארח
• כתובת URL
• גיבוב (hash)

הוספת נתונים לפעולה

אין.

פלט של פעולות

הפעולה Delete IOC מספקת את הפלט הבא:

סוג הפלט של הפעולה
קיר עם תושבת	לא זמין
קישור לקיר של הפנייה	לא זמין
טבלת בקשות תמיכה	לא זמין
טבלת העשרה	לא זמין
תוצאה בפורמט JSON	לא זמין
הודעות פלט	יש גישה
תוצאת הסקריפט	יש גישה

תוצאת הסקריפט

בטבלה הבאה מפורטים הערכים של פלט התוצאה של הסקריפט כשמשתמשים בפעולה מחיקת IOC:

שם התוצאה של הסקריפט	ערך
is_success	True או False

הודעות פלט

ב-Case Wall, הפעולה Delete IOC מספקת את הודעות הפלט הבאות:

הודעת פלט	תיאור ההודעה
Successfully deleted the following custom IOCs in CrowdStrike Falcon: ENTITY_ID The following custom IOCs were not a part of CrowdStrike Falcon instance: ENTITY_ID All of the provided IOCs were not a part of CrowdStrike Falcon instance.	הפעולה הסתיימה בהצלחה.
Error executing action "Delete IOC". Reason: ERROR_REASON	הפעולה נכשלה. צריך לבדוק את החיבור לשרת, את פרמטרי הקלט או את פרטי הכניסה.

הורדת הקובץ

משתמשים בפעולה Download File (הורדת קובץ) כדי להוריד קבצים מהמארחים ב-CrowdStrike Falcon.

כדי לבצע את הפעולה הזו, גם שם הקובץ וגם כתובת ה-IP או ישות של שם מארח צריכים להיות בהיקף של ההתראה ב-Google SecOps.

הקובץ שהורדתם נמצא בחבילת ZIP שמוגנת בסיסמה. כדי לגשת לקובץ, צריך להזין את הסיסמה הבאה: infected.

הפעולה הורדת קובץ מופעלת בישויות הבאות:

• שם קובץ
• כתובת IP
• מארח

הוספת נתונים לפעולה

הפעולה הורדת קובץ דורשת את הפרמטרים הבאים:

פרמטרים
Customer ID	אופציונלי מציינים את מזהה הלקוח שעבורו רוצים לבצע את הפעולה.
Device ID	אופציונלי רשימה של מזהי מכשירים מופרדים בפסיקים שבהם רוצים להפעיל את הפעולה. הערה: הפעולה מבוצעת גם על הישויות שמצורפות לתיק וגם על ערכי הפרמטרים האלה.
Download Folder Path	חובה הנתיב לתיקייה שבה מאוחסן הקובץ שהורדתם. הפורמט תלוי בפריסה: פריסת SaaS: הנתיב הוא פנימי לפלטפורמה המתארחת. פריסה מרחוק: הנתיב חייב להיות נתיב מוחלט ותקף של ספרייה במחשב המקומי שבו מותקן הסוכן של הפריסה מרחוק (למשל, C:\temp\download ב-Windows או /var/tmp/download/ ב-Linux).
Overwrite	חובה אם בוחרים באפשרות הזו, הפעולה דורסת את הקובץ עם אותו שם. האפשרות הזו לא מסומנת כברירת מחדל.

פלט של פעולות

הפעולה הורדת קובץ מספקת את הפלט הבא:

סוג הפלט של הפעולה
קיר עם תושבת	לא זמין
קישור לקיר של הפנייה	לא זמין
טבלת בקשות תמיכה	לא זמין
טבלת ישויות	יש גישה
טבלת העשרה	לא זמין
תוצאה בפורמט JSON	יש גישה
הודעות פלט	יש גישה
תוצאת הסקריפט	יש גישה

טבלת ישויות

הפעולה הורדת קובץ מספקת את טבלת הישויות הבאה:

ישות
filepath	הנתיב המוחלט לקובץ.

תוצאה בפורמט JSON

בדוגמה הבאה מתואר פלט התוצאה בפורמט JSON שמתקבל כשמשתמשים בפעולה הורדת קובץ:

{

"absolute_paths": ["/opt/file_1", "opt_file_2"]

}

הודעות פלט

הפעולה הורדת קובץ מספקת את הודעות הפלט הבאות:

הודעת פלט	תיאור ההודעה
Successfully downloaded file "FILENAME" from the following endpoints in CrowdStrike Falcon: ENTITY_ID Action wasn't able to download file from the following endpoints in CrowdStrike Falcon: ENTITY_ID	הפעולה הסתיימה בהצלחה.
Error executing action "Download File". Reason: ERROR_REASON	הפעולה נכשלה. צריך לבדוק את החיבור לשרת, את פרמטרי הקלט או את פרטי הכניסה.
Error executing action "Download File". Reason: file with path PATH already exists. Please delete the file or set "Overwrite" to true.	הפעולה נכשלה. בודקים את הערך של הפרמטר Overwrite או מוחקים את הקובץ.
Waiting for results for the following entities: ENTITY_ID	הודעה אסינכרונית.

תוצאת הסקריפט

בטבלה הבאה מפורטים הערכים של פלט התוצאות של הסקריפט כשמשתמשים בפעולה הורדת קובץ:

שם התוצאה של הסקריפט	ערך
is_success	True או False

הרצת פקודה

משתמשים בפעולה Execute Command (הפעלת פקודה) כדי להפעיל פקודות במארחים ב-CrowdStrike Falcon.

הפעולה הזו מופעלת בישויות הבאות:

• כתובת IP
• שם המארח

הוספת נתונים לפעולה

הפעולה Execute Command (הפעלת פקודה) דורשת את הפרמטרים הבאים:

פרמטרים
Customer ID	אופציונלי מציינים את מזהה הלקוח שעבורו רוצים לבצע את הפעולה.
Command	חובה מציינים איזו פקודה להפעיל במארחים.
Admin Command	אופציונלי אם בוחרים באפשרות הזו, הפעולה מבצעת פקודות עם הרשאות אדמין. היא נדרשת לפקודות ספציפיות כמו put. האפשרות הזו לא מסומנת כברירת מחדל.
Hostname	אופציונלי רשימה של שמות מארחים מופרדים בפסיקים שבהם רוצים לבצע את הפעולה. הערה: הפעולה מבוצעת גם על הישויות שמצורפות לתיק וגם על ערכי הפרמטרים האלה.
Device ID	אופציונלי רשימה של מזהי מכשירים מופרדים בפסיקים שבהם רוצים להפעיל את הפעולה. הערה: הפעולה מבוצעת גם על הישויות שמצורפות לתיק וגם על ערכי הפרמטרים האלה.
Queue Offline	אופציונלי אם האפשרות הזו נבחרה, פקודות שמיועדות למארחים אופליין מתווספות לתור ומופעלות ברגע שהמארח מתחבר מחדש לרשת. האפשרות הזו לא מסומנת כברירת מחדל.

פלט של פעולות

הפעולה Execute Command מספקת את הפלטים הבאים:

סוג הפלט של הפעולה
קיר עם תושבת	לא זמין
קישור לקיר של הפנייה	לא זמין
טבלת בקשות תמיכה	לא זמין
טבלת העשרה	לא זמין
תוצאה בפורמט JSON	לא זמין
הודעות פלט	יש גישה
תוצאת הסקריפט	יש גישה

הודעות פלט

ב-Case Wall, הפעולה Execute Command מספקת את הודעות הפלט הבאות:

הודעת פלט	תיאור ההודעה
Successfully executed command "COMMAND" on the following endpoints in CrowdStrike Falcon: ENTITY_ID	הפעולה הסתיימה בהצלחה.
Error executing action "Execute Command". Reason: ERROR_REASON	הפעולה נכשלה. צריך לבדוק את החיבור לשרת, את פרמטרי הקלט או את פרטי הכניסה.
Waiting for results for the following entities: ENTITY_ID	הודעה אסינכרונית.

תוצאת הסקריפט

בטבלה הבאה מפורטים הערכים של פלט התוצאה של הסקריפט כשמשתמשים בפעולה Execute Command:

שם התוצאה של הסקריפט	ערך
is_success	True או False

קבלת פרטי התראה

משתמשים בפעולה Get Alert Details כדי לאחזר את פרטי ההתראה ב-CrowdStrike Falcon.

הפעולה הזו לא מופעלת בישויות של Google SecOps.

הוספת נתונים לפעולה

הפעולה Get Alert Details דורשת את הפרמטרים הבאים:

פרמטר	תיאור
Alert ID	חובה. המזהה הייחודי של ההתראה שממנה רוצים לאחזר פרטים.

פלט של פעולות

הפעולה Get Alert Details (קבלת פרטי התראה) מספקת את הפלטים הבאים:

סוג הפלט של הפעולה	זמינות
קיר עם תושבת	לא זמין
קישור לקיר של הפנייה	לא זמין
טבלת בקשות תמיכה	לא זמין
טבלת העשרה	לא זמין
תוצאה בפורמט JSON	יש גישה
הודעות פלט	יש גישה
תוצאת הסקריפט	יש גישה

תוצאה בפורמט JSON

בדוגמה הבאה מוצג פלט של תוצאות JSON שהתקבלו באמצעות הפעולה Get Alert Details:

{
    "added_privileges": [
        "DomainAdminsRole"
    ],
    "aggregate_id": "aggind:CID_VALUE:AGGREGATE_ID_VALUE",
    "assigned_to_uid": "[e-mail]",
    "cid": "CID_VALUE",
    "composite_id": "CID_VALUE:ind:CID_VALUE:COMPOSITE_ID_VALUE",
    "confidence": 20,
    "context_timestamp": "2022-11-15T12:58:15.629Z",
    "crawl_edge_ids": {
        "Sensor": [
            "EDGE_ID_1_OBFUSCATED_STRING",
            "EDGE_ID_2_OBFUSCATED_STRING",
            "EDGE_ID_3_OBFUSCATED_STRING"
        ]
    },
    "crawl_vertex_ids": {
        "Sensor": [
            "aggind:CID_VALUE:AGGREGATE_ID_VALUE",
            "idpind:CID_VALUE:IDP_DETECTION_ID",
            "ind:CID_VALUE:DETECTION_ID",
            "uid:CID_VALUE:SOURCE_SID_VALUE"
        ]
    },
    "crawled_timestamp": "2022-11-15T13:58:17.251061883Z",
    "created_timestamp": "2022-11-15T12:59:17.239585706Z",
    "description": "A user received new privileges",
    "display_name": "Privilege escalation (user)",
    "end_time": "2022-11-15T12:58:15.629Z",
    "falcon_host_link": "https://falcon.crowdstrike.com/identity-protection/detections/DETECTION_ID?cid=CID_VALUE",
    "id": "ind:CID_VALUE:DETECTION_ID",
    "name": "IdpEntityPrivilegeEscalationUser",
    "objective": "Gain Access",
    "pattern_id": 51113,
    "previous_privileges": "0",
    "privileges": "8321",
    "product": "idp",
    "scenario": "privilege_escalation",
    "severity": 2,
    "show_in_ui": true,
    "source_account_domain": "EXAMPLE.LOCAL",
    "source_account_name": "TEST_MAILBOX",
    "source_account_object_sid": "S-1-5-21-3479765008-4256118348-3151044947-3595",
    "start_time": "2022-11-15T12:58:15.629Z",
    "status": "new",
    "tactic": "Privilege Escalation",
    "tactic_id": "TA0004",
    "tags": [
        "red_team"
    ],
    "technique": "Valid Accounts",
    "technique_id": "T1078",
    "timestamp": "2022-11-15T12:58:17.239Z",
    "type": "idp-user-endpoint-app-info",
    "updated_timestamp": "2022-11-23T15:22:20.271100181Z"
}

הודעות פלט

הפעולה קבלת פרטי התראה יכולה להחזיר את הודעות הפלט הבאות:

הודעת פלט	תיאור ההודעה
Successfully returned information about the alert with ID ALERT_ID in Crowdstrike.	הפעולה הסתיימה בהצלחה.
Error executing action "Get Alert Details". Reason: ERROR_REASON	הפעולה נכשלה. בודקים את החיבור לשרת, את פרמטרי הקלט או את פרטי הכניסה.

תוצאת הסקריפט

בטבלה הבאה מפורט הערך של פלט תוצאת הסקריפט כשמשתמשים בפעולה קבלת פרטי התראה:

שם התוצאה של הסקריפט	ערך
is_success	true או false

קבלת היסט של אירוע

משתמשים בפעולה Get Event Offset כדי לאחזר את ההיסט של האירוע שבו נעשה שימוש בStreaming Events Connector.

הפעולה הזו מתחילה לעבד אירועים מלפני 30 יום.

הפעולה הזו לא מופעלת בישויות.

הוספת נתונים לפעולה

הפעולה Get Event Offset (קבלת היסט של אירוע) דורשת את הפרמטרים הבאים:

פרמטרים
Max Events To Process	חובה מספר האירועים שהפעולה צריכה לעבד החל מ-30 ימים אחורה. ערך ברירת המחדל הוא 10000.

פלט של פעולות

הפעולה קבלת היסט של אירוע מספקת את הפלט הבא:

סוג הפלט של הפעולה
קיר עם תושבת	לא זמין
קישור לקיר של הפנייה	לא זמין
טבלת בקשות תמיכה	לא זמין
טבלת העשרה	לא זמין
תוצאה בפורמט JSON	יש גישה
הודעות פלט	יש גישה
תוצאת הסקריפט	יש גישה

תוצאה בפורמט JSON

בדוגמה הבאה מתואר פלט של תוצאת JSON שמתקבלת כשמשתמשים בפעולה Get Event Offset:

{
"offset": 100000
"timestamp": "<code><var>EVENT_TIMESTAMP</var></code>"
}

הודעות פלט

הפעולה Get Event Offset מספקת את הודעות הפלט הבאות:

הודעת פלט	תיאור ההודעה
Successfully retrieved event offset in CrowdStrike Falcon.	הפעולה הסתיימה בהצלחה.
Error executing action "Get Event Offset". Reason: ERROR_REASON	הפעולה נכשלה. צריך לבדוק את החיבור לשרת, את פרמטרי הקלט או את פרטי הכניסה.

תוצאת הסקריפט

בטבלה הבאה מפורטים הערכים של פלט התוצאה של הסקריפט כשמשתמשים בפעולה Get Event Offset:

שם התוצאה של הסקריפט	ערך
is_success	True או False

קבלת פרטי המארח

משתמשים בפעולה Get Host Information (קבלת מידע על מארח) כדי לאחזר מידע על שם המארח מ-CrowdStrike Falcon.

הפעולה הזו מופעלת בישויות הבאות:

• שם המארח
• כתובת IP

הוספת נתונים לפעולה

הפעולה Get Host Information (קבלת פרטי המארח) דורשת את הפרמטרים הבאים:

פרמטרים
Hostname	אופציונלי רשימה של שמות מארחים שמופרדים בפסיקים ויוסתר ב-CrowdStrike Falcon. הפעולה מעבדת גם את ערכי הקלט שסופקו בפרמטר הזה וגם את הישויות Hostname ו-IP Address שמצורפות לכרטיס.
Device ID	אופציונלי רשימה של מזהי מכשירים מופרדים בפסיקים שבהם רוצים להפעיל את הפעולה. הערה: הפעולה מבוצעת גם על הישויות שמצורפות לתיק וגם על ערכי הפרמטרים האלה.
Customer ID	אופציונלי מספר הלקוח הייחודי (CID) ב-CrowdStrike שמשמש לטירגוט דייר ספציפי. הפרמטר הזה נדרש ב-Falcon Flight Control או בסביבות מרובות דיירים כדי לבצע את הפעולה במספר לקוח צאצא ספציפי.

פלט של פעולות

הפעולה קבלת פרטי המארח מספקת את הפלט הבא:

סוג הפלט של הפעולה
קיר עם תושבת	לא זמין
קישור לקיר של הפנייה	לא זמין
טבלת בקשות תמיכה	לא זמין
טבלת העשרה של ישויות	יש גישה
תוצאה בפורמט JSON	יש גישה
הודעות פלט	יש גישה
תוצאת הסקריפט	יש גישה

העשרה של ישויות

הפעולה Get Host Information תומכת בלוגיקה הבאה של העשרת ישויות:

שדה העשרה	לוגיקה
modified_timestamp	הפונקציה מחזירה ערך אם הוא קיים בתוצאת ה-JSON
major_version	הפונקציה מחזירה ערך אם הוא קיים בתוצאת ה-JSON
site_name	הפונקציה מחזירה ערך אם הוא קיים בתוצאת ה-JSON
platform_id	הפונקציה מחזירה ערך אם הוא קיים בתוצאת ה-JSON
config_id_platform	הפונקציה מחזירה ערך אם הוא קיים בתוצאת ה-JSON
system_manufacturer	הפונקציה מחזירה ערך אם הוא קיים בתוצאת ה-JSON
meta	הפונקציה מחזירה ערך אם הוא קיים בתוצאת ה-JSON
first_seen	הפונקציה מחזירה ערך אם הוא קיים בתוצאת ה-JSON
service_pack_minor	הפונקציה מחזירה ערך אם הוא קיים בתוצאת ה-JSON
product_type_desc	הפונקציה מחזירה ערך אם הוא קיים בתוצאת ה-JSON
build_number	הפונקציה מחזירה ערך אם הוא קיים בתוצאת ה-JSON
hostname	הפונקציה מחזירה ערך אם הוא קיים בתוצאת ה-JSON
config_id_build	הפונקציה מחזירה ערך אם הוא קיים בתוצאת ה-JSON
minor_version	הפונקציה מחזירה ערך אם הוא קיים בתוצאת ה-JSON
os_version	הפונקציה מחזירה ערך אם הוא קיים בתוצאת ה-JSON
provision_status	הפונקציה מחזירה ערך אם הוא קיים בתוצאת ה-JSON
mac_address	הפונקציה מחזירה ערך אם הוא קיים בתוצאת ה-JSON
bios_version	הפונקציה מחזירה ערך אם הוא קיים בתוצאת ה-JSON
agent_load_flags	הפונקציה מחזירה ערך אם הוא קיים בתוצאת ה-JSON
status	הפונקציה מחזירה ערך אם הוא קיים בתוצאת ה-JSON
bios_manufacturer	הפונקציה מחזירה ערך אם הוא קיים בתוצאת ה-JSON
machine_domain	הפונקציה מחזירה ערך אם הוא קיים בתוצאת ה-JSON
agent_local_time	הפונקציה מחזירה ערך אם הוא קיים בתוצאת ה-JSON
slow_changing_modified_timestamp	הפונקציה מחזירה ערך אם הוא קיים בתוצאת ה-JSON
service_pack_major	הפונקציה מחזירה ערך אם הוא קיים בתוצאת ה-JSON
device_id	הפונקציה מחזירה ערך אם הוא קיים בתוצאת ה-JSON
system_product_name	הפונקציה מחזירה ערך אם הוא קיים בתוצאת ה-JSON
product_type	הפונקציה מחזירה ערך אם הוא קיים בתוצאת ה-JSON
local_ip	הפונקציה מחזירה ערך אם הוא קיים בתוצאת ה-JSON
external_ip	הפונקציה מחזירה ערך אם הוא קיים בתוצאת ה-JSON
cid	הפונקציה מחזירה ערך אם הוא קיים בתוצאת ה-JSON
platform_name	הפונקציה מחזירה ערך אם הוא קיים בתוצאת ה-JSON
config_id_base	הפונקציה מחזירה ערך אם הוא קיים בתוצאת ה-JSON
last_seen	הפונקציה מחזירה ערך אם הוא קיים בתוצאת ה-JSON
pointer_size	הפונקציה מחזירה ערך אם הוא קיים בתוצאת ה-JSON
agent_version	הפונקציה מחזירה ערך אם הוא קיים בתוצאת ה-JSON

תוצאה בפורמט JSON

בדוגמה הבאה מתואר פלט תוצאת ה-JSON שמתקבל כשמשתמשים בפעולה Get Host Information:

[
  {
    "EntityResult": [
      {
        "modified_timestamp": "2019-01-17T13: 44: 57Z",
        "major_version": "10",
        "site_name": "Default-First-Site-Name",
        "platform_id": "0",
        "config_id_platform": "3",
        "system_manufacturer": "ExampleInc.",
        "meta": {
          "version": "1111"
        },
        "first_seen": "2018-04-22T13: 06: 53Z",
        "service_pack_minor": "0",
        "product_type_desc": "Workstation",
        "build_number": "111",
        "hostname": "name",
        "config_id_build": "8104",
        "minor_version": "0",
        "os_version": "Windows10",
        "provision_status": "Provisioned",
        "mac_address": "64-00-6a-2a-43-3f",
        "bios_version": "1.2.1",
        "agent_load_flags": "1",
        "status": "normal",
        "bios_manufacturer": "ExampleInc.",
        "machine_domain": "Domain name",
        "agent_local_time": "2019-01-14T19: 41: 09.738Z",
        "slow_changing_modified_timestamp": "2019-01-14T17: 44: 40Z",
        "service_pack_major": "0",
        "device_id": "example-id",
        "system_product_name": "OptiPlex7040",
        "product_type": "1",
        "local_ip": "192.0.2.1",
        "external_ip": "203.0.113.1",
        "cid": "example-cid",
        "platform_name": "Windows",
        "config_id_base": "65994753",
        "last_seen": "2019-01-17T13: 44: 46Z",
        "pointer_size": "8",
        "agent_version": "4.18.8104.0",
        "recent_logins": [
          {
            "user_name": "test",
            "login_time": "2022-08-10T07:36:38Z"
          },
          {
            "user_name": "test",
            "login_time": "2022-08-10T07:36:35Z"
          }
        ],
        "online_status": "offline"
      }
    ],
    "Entity": "198.51.100.255"
  }
]

הודעות פלט

הפעולה Get Host Information (קבלת פרטי מארח) מספקת את הודעות הפלט הבאות:

הודעת פלט	תיאור ההודעה
Successfully enriched the following entities using CrowdStrike Falcon: ENTITY_ID Action wasn't able to enrich the following entities using CrowdStrike Falcon: ENTITY_ID	הפעולה הסתיימה בהצלחה.
Error executing action "Get Host Information". Reason: ERROR_REASON	הפעולה נכשלה. צריך לבדוק את החיבור לשרת, את פרמטרי הקלט או את פרטי הכניסה.

תוצאת הסקריפט

בטבלה הבאה מפורטים הערכים של פלט התוצאות של הסקריפט כשמשתמשים בפעולה קבלת פרטי מארח:

שם התוצאה של הסקריפט	ערך
is_success	True או False

Get Hosts by IOC - Deprecated

הוצאה משימוש: הפעולה הזו הוצאה משימוש.

רשימת המארחים שקשורים ל-IOC ב-CrowdStrike Falcon. ישויות נתמכות: שם מארח, כתובת URL, כתובת IP וגיבוב.
הערה: ישויות של שמות מארחים נחשבות כ-IOC של דומיין. הפעולה מחלצת את החלק של הדומיין מכתובות URL. נתמכים רק הגיבובים MD5 ו-SHA-256.

ישויות

הפעולה הזו מופעלת בישויות הבאות:

• כתובת IP
• שם המארח
• כתובת URL
• גיבוב (hash)

הוספת נתונים לפעולה

לא רלוונטי

פלט של פעולות

תוצאת סקריפט

שם התוצאה של הסקריפט	אפשרויות ערך	דוגמה
is_success	נכון/לא נכון	is_success:False

תוצאה בפורמט JSON

 {
  "hash":
   [{
     "modified_timestamp": "2019-01-17T13: 44: 57Z",
     "major_version": "10",
     "site_name": "Example-Name",
     "platform_id": "ExampleID",
     "config_id_platform": "3",
     "system_manufacturer": "ExampleInc.",
     "meta": {"version": "49622"},
     "first_seen": "2018-04-22T13: 06: 53Z",
   "service_pack_minor": "0",
     "product_type_desc": "Workstation",
     "build_number": "14393",
     "hostname": "name",
     "config_id_build": "ExampleID",
     "minor_version": "0",
     "os_version": "Windows10",
     "provision_status": "Provisioned",
     "mac_address": "01:23:45:ab:cd:ef",
     "bios_version": "1.2.1",
     "agent_load_flags": "1",
     "status": "normal",
     "bios_manufacturer": "ExampleInc.",
     "machine_domain": "Example Domain",
     "Device_policies":
         {
           "sensor_update":
              {
                "applied": true,
                "applied_date": "2018-12-11T23: 09: 18.071417837Z",
                "settings_hash": "65994753|3|2|automatic",
                "policy_type": "sensor-update",
                "assigned_date": "2018-12-11T23: 08: 38.16990705Z",
                "policy_id": "Example ID"
               }
          },
      "agent_local_time": "2019-01-14T19: 41: 09.738Z",
      "slow_changing_modified_timestamp": "2019-01-14T17: 44: 40Z",
      "service_pack_major": "0", "device_id": "2653595a063e4566519ef4fc813fcc56",
      "system_product_name": "OptiPlex7040",
      "product_type": "1",
      "local_ip": "192.0.2.1",
      "external_ip": "203.0.113.1",
      "cid": "123456789abcdef123456789abcdef12",
      "platform_name": "Windows",
      "config_id_base": "ExampleID",
      "policies":
          [{
             "applied": true,
             "applied_date": "2019-01-02T22: 45: 21.315392338Z",
             "settings_hash": "18db1203",
             "policy_type": "prevention",
             "assigned_date": "2019-01-02T22: 45: 11.214774996Z",
             "policy_id": "Example ID"
          }],
      "last_seen": "2019-01-17T13: 44: 46Z",
      "pointer_size": "8",
      "agent_version": "4.18.8104.0"
   }]
 }
  

העשרה של ישויות

שדה העשרה	לוגיקה
modified_timestamp	הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
major_version	הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
site_name	הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
platform_id	הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
config_id_platform	הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
system_manufacturer	הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
meta	הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
first_seen	הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
service_pack_minor	הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
product_type_desc	הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
build_number	הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
hostname	הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
config_id_build	הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
minor_version	הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
os_version	הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
provision_status	הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
mac_address	הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
bios_version	הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
agent_load_flags	הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
סטטוס	הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
bios_manufacturer	הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
machine_domain	הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
Device_policies	הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
agent_local_time	הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
slow_changing_modified_timestamp	הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
service_pack_major	הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
system_product_name	הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
product_type	הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
local_ip	הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
external_ip	הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
cid	הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
platform_name	הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
config_id_base	הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
policies	הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
last_seen	הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
pointer_size	הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
agent_version	הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON

תובנות לגבי ישויות

לא רלוונטי

קיר של נרתיקים

סוג התוצאה	ערך / תיאור	סוג
הודעת פלט*	הפעולה לא אמורה להיכשל או להפסיק את ההפעלה של פלייבוק: אם הפעולה מצליחה ונמצא מארח אחד לפחות שקשור ל-IOC שסופק (is_success=true): 'Successfully retrieved hosts related to the provided IOCs in CrowdStrike Falcon.' אם לא נמצאו מארחים שקשורים ל-IOC (הערך של is_success הוא false): "לא נמצאו מארחים שקשורים ל-IOC שסופק ב-CrowdStrike Falcon". הפעולה תיכשל והרצת ה-Playbook תיפסק: אם מדווחת שגיאה קריטית: "שגיאה בהרצת הפעולה "{שם הפעולה}". הסיבה: {traceback}."	כללי

קבלת שם התהליך לפי IOC – הוצא משימוש

הוצאה משימוש: הפעולה הזו הוצאה משימוש.

אחזור תהליכים שקשורים ל-IOC ולמכשירים שסופקו ב-CrowdStrike Falcon. הישויות הנתמכות: שם מארח, כתובת URL, כתובת IP וגיבוב.
הערה: ישויות של שמות מארחים נחשבות כ-IOC של דומיין. הפעולה מחלצת את החלק של הדומיין מכתובות URL. נתמכים רק הגיבובים MD5, ‏ SHA-1 ו-SHA-256. הישויות של כתובות ה-IP נחשבות ל-IOC.

פרמטרים

שם הפרמטר	סוג	ערך ברירת המחדל	חובה	תיאור
שמות מכשירים	11	לא רלוונטי	כן	מציינים רשימה מופרדת בפסיקים של מכשירים שרוצים לאחזר עבורם תהליכים שקשורים לישויות.

ריצה

הפעולה הזו מופעלת בישויות הבאות:

• שם המארח
• כתובת URL
• גיבוב (hash)

תוצאות הפעולה

תוצאת סקריפט

שם התוצאה של הסקריפט	אפשרויות ערך	דוגמה
is_success	נכון/לא נכון	is_success:False

תוצאה בפורמט JSON

  {
  "EntityResult":
   [{
      "Process Name": "example.exe",
      "Indicator": "986a4715113359b527b15efe1ee09306", "Host Name": "example-name"
     },{
      "Process Name": "example.exe",
      "Indicator": "986a4715113359b527b15efe1ee09306",
      "Host Name": "example-name"
    },{
      "Process Name": "example.exe",
      "Indicator": "986a4715113359b527b15efe1ee09306",
      "Host Name": "example-name"
   }],
   "Entity": "example_entity"
  }
  

העשרה של ישויות

שם שדה ההעשרה	לוגיקה – מתי להחיל
שם התהליך	הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
אינדיקטור	הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON
שם המארח	הפונקציה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON

תובנות לגבי ישויות

לא רלוונטי

Case Wall

סוג התוצאה	ערך / תיאור	סוג
הודעת פלט*	הפעולה לא אמורה להיכשל או להפסיק את ההפעלה של ה-Playbook: If found processes related to entities for at least one endpoint (is_success=true): "Successfully retrieved processes related to the IOCs on the following endpoints in CrowdStrike Falcon: {device name}." אם לא נמצאו תהליכים עבור נקודת קצה אחת לפחות או שהמכשיר לא נמצא (is_success=true): "לא נמצאו תהליכים קשורים בנקודות הקצה הבאות ב-CrowdStrike Falcon: {device name}". אם לא נמצאו תהליכים לכל נקודות הקצה או שאף אחד מהמכשירים לא נמצא (is_success=false): "לא נמצאו תהליכים קשורים בנקודות הקצה שצוינו ב-CrowdStrike Falcon. הפעולה תיכשל והרצת ה-Playbook תיפסק: אם דווחה שגיאה קריטית: "Error executing "{action name}". הסיבה: {trace back}."

הסתרת המארחים

משתמשים בפעולה הסתרת מארחים כדי להסתיר מארח אחד או יותר במסוף CrowdStrike Falcon.

הפעולה הזו מופעלת בישויות הבאות של Google SecOps:

• שם המארח
• כתובת IP

הוספת נתונים לפעולה

הפעולה הסתרת מארחים דורשת את הפרמטרים הבאים:

פרמטר	תיאור
Hostname	זה שינוי אופציונלי. רשימה מופרדת בפסיקים של שמות מארחים שיוסתר ב-CrowdStrike Falcon. הפעולה מעבדת את שני ערכי הקלט שסופקו בפרמטר הזה ואת הישויות Hostname ו-IP Address שמצורפות לכרטיס.
Customer ID	זה שינוי אופציונלי. מספר הלקוח הייחודי (CID) ב-CrowdStrike שמשמש לטירגוט דייר ספציפי. הפרמטר הזה נדרש ב-Falcon Flight Control או בסביבות מרובות דיירים כדי לבצע את הפעולה במספר לקוח ספציפי של צאצא.

פלט של פעולות

הפעולה הסתרת מארחים מספקת את הפלטים הבאים:

סוג הפלט של הפעולה	זמינות
קיר עם תושבת	לא זמין
קישור לקיר של הפנייה	לא זמין
טבלת בקשות תמיכה	לא זמין
טבלת העשרה של ישויות	לא זמין
תוצאה בפורמט JSON	לא זמין
הודעות פלט	יש גישה
תוצאת הסקריפט	יש גישה

הודעות פלט

הפעולה הסתרת מארחים מספקת את הודעות הפלט הבאות:

הודעת פלט	תיאור ההודעה
Successfully hid the following hosts in Crowdstrike: HOSTS. Action wasn't able to hide the following hosts in Crowdstrike: HOSTS. None of the provided hosts were hidden.	הפעולה הסתיימה בהצלחה.
Error executing action "Hide Host". Reason: ERROR_REASON	הפעולה נכשלה. בודקים את החיבור לשרת, את פרמטרי הקלט או את פרטי הכניסה.

תוצאת הסקריפט

בטבלה הבאה מפורטים הערכים של פלט התוצאה של הסקריפט כשמשתמשים בפעולה הסתרת מארחים:

שם התוצאה של הסקריפט	ערך
is_success	true או false

נקודת קצה (endpoint) שכלולה בעלייה

משתמשים בפעולה Lift Contained Endpoint כדי לבטל את ההסגר של נקודת קצה ב-CrowdStrike Falcon.

הפעולה הזו מופעלת בישויות הבאות:

• כתובת IP
• שם המארח

הוספת נתונים לפעולה

הפעולה Lift Contained Endpoint דורשת את הפרמטרים הבאים:

פרמטרים
Customer ID	אופציונלי מציינים את מזהה הלקוח שעבורו רוצים לבצע את הפעולה.
Device ID	אופציונלי רשימה של מזהי מכשירים מופרדים בפסיקים שבהם רוצים להפעיל את הפעולה. הערה: הפעולה מבוצעת גם על הישויות שמצורפות לתיק וגם על ערכי הפרמטרים האלה.
Fail If Timeout	אופציונלי אם האפשרות הזו נבחרה וההסגר לא הוסר מכל נקודות הקצה, הפעולה נכשלת. האפשרות הזו מסומנת כברירת מחדל.

פלט של פעולות

הפעולה Lift Contained Endpoint מספקת את הפלט הבא:

סוג הפלט של הפעולה
קיר עם תושבת	לא זמין
קישור לקיר של הפנייה	לא זמין
טבלת בקשות תמיכה	לא זמין
טבלת העשרה של ישויות	יש גישה
תוצאה בפורמט JSON	יש גישה
הודעות פלט	יש גישה
תוצאת הסקריפט	יש גישה

העשרה של ישויות

הפעולה Lift Contained Endpoint תומכת בהעשרה של הישויות הבאות:

שדה העשרה	לוגיקה
status	הפונקציה מחזירה ערך אם הוא קיים בתוצאת ה-JSON
modified_timestamp	הפונקציה מחזירה ערך אם הוא קיים בתוצאת ה-JSON
major_version	הפונקציה מחזירה ערך אם הוא קיים בתוצאת ה-JSON
config_id_platform	הפונקציה מחזירה ערך אם הוא קיים בתוצאת ה-JSON
system_manufacturer	הפונקציה מחזירה ערך אם הוא קיים בתוצאת ה-JSON
device_policies	הפונקציה מחזירה ערך אם הוא קיים בתוצאת ה-JSON
meta	הפונקציה מחזירה ערך אם הוא קיים בתוצאת ה-JSON
pointer_size	הפונקציה מחזירה ערך אם הוא קיים בתוצאת ה-JSON
last_seen	הפונקציה מחזירה ערך אם הוא קיים בתוצאת ה-JSON
agent_local_time	הפונקציה מחזירה ערך אם הוא קיים בתוצאת ה-JSON
first_seen	הפונקציה מחזירה ערך אם הוא קיים בתוצאת ה-JSON
service_pack_major	הפונקציה מחזירה ערך אם הוא קיים בתוצאת ה-JSON
slow_changing_modified_timestamp	הפונקציה מחזירה ערך אם הוא קיים בתוצאת ה-JSON
service_pack_minor	הפונקציה מחזירה ערך אם הוא קיים בתוצאת ה-JSON
system_product_name	הפונקציה מחזירה ערך אם הוא קיים בתוצאת ה-JSON
product_type_desc	הפונקציה מחזירה ערך אם הוא קיים בתוצאת ה-JSON
build_number	הפונקציה מחזירה ערך אם הוא קיים בתוצאת ה-JSON
cid	הפונקציה מחזירה ערך אם הוא קיים בתוצאת ה-JSON
local_ip	הפונקציה מחזירה ערך אם הוא קיים בתוצאת ה-JSON
external_ip	הפונקציה מחזירה ערך אם הוא קיים בתוצאת ה-JSON
hostname	הפונקציה מחזירה ערך אם הוא קיים בתוצאת ה-JSON
config_id_build	הפונקציה מחזירה ערך אם הוא קיים בתוצאת ה-JSON
minor_version	הפונקציה מחזירה ערך אם הוא קיים בתוצאת ה-JSON
platform_id	הפונקציה מחזירה ערך אם הוא קיים בתוצאת ה-JSON
os_version	הפונקציה מחזירה ערך אם הוא קיים בתוצאת ה-JSON
config_id_base	הפונקציה מחזירה ערך אם הוא קיים בתוצאת ה-JSON
provision_status	הפונקציה מחזירה ערך אם הוא קיים בתוצאת ה-JSON
mac_address	הפונקציה מחזירה ערך אם הוא קיים בתוצאת ה-JSON
bios_version	הפונקציה מחזירה ערך אם הוא קיים בתוצאת ה-JSON
platform_name	הפונקציה מחזירה ערך אם הוא קיים בתוצאת ה-JSON
agent_load_flags	הפונקציה מחזירה ערך אם הוא קיים בתוצאת ה-JSON
device_id	הפונקציה מחזירה ערך אם הוא קיים בתוצאת ה-JSON
product_type	הפונקציה מחזירה ערך אם הוא קיים בתוצאת ה-JSON
agent_version	הפונקציה מחזירה ערך אם הוא קיים בתוצאת ה-JSON

תוצאה בפורמט JSON

בדוגמה הבאה מתואר פלט של תוצאת JSON שמתקבלת כשמשתמשים בפעולה Lift Contained Endpoint:

{
  "EntityResult":
   {
     "status": "contained",
     "modified_timestamp": "2019-06-24T07:47:37Z",
     "major_version": "6", "policies":
      [{
        "applied": "True",
        "applied_date": "2019-04-29T07:40:06.876850888Z",
        "settings_hash": "ce17279e",
        "policy_type": "prevention",
        "assigned_date": "2019-04-29T07:39:55.218651583Z",
        "policy_id": ""
       }],
     "config_id_platform": "example-id",
     "bios_manufacturer": "Example Inc.",
     "system_manufacturer": "Example Corporation",
     "Device_policies":
        {
         "global_config":
           {
             "applied": "True",
             "applied_date": "2019-06-03T23:24:04.893780991Z",
             "settings_hash": "a75911b0",
             "policy_type": "globalconfig",
             "assigned_date": "2019-06-03T23:23:17.184432743Z",
             "policy_id": ""
           },
         "Sensor_update":
           {
             "applied": "True",
             "applied_date": "2019-05-30T23:13:55.23597658Z",
             "settings_hash": "65994753|3|2|automatic;101",
             "uninstall_protection": "ENABLED",
             "policy_type": "sensor-update",
             "assigned_date": "2019-05-30T23:04:31.485311459Z",
             "policy_id": "9d1e405846de4ebdb63f674866d390dc"
           },
          "Prevention":
           {
             "applied": "True",
             "applied_date": "2019-04-29T07:40:06.876850888Z",
             "settings_hash": "ce17279e",
             "policy_type": "prevention",
             "assigned_date": "2019-04-29T07:39:55.218651583Z",
             "policy_id": ""
            },
          "device_control":
           {
             "applied": "True",
             "applied_date": "2019-06-03T23:14:29.800434222Z",
             "policy_type": "device-control",
             "assigned_date": "2019-06-03T23:05:17.425127539Z",
             "policy_id": ""
            },
          "Remote_response":
           {
             "applied": "True",
             "applied_date": "2019-04-29T07:40:04.469808388Z",
             "settings_hash": "f472bd8e",
             "policy_type": "remote-response",
             "assigned_date": "2019-04-29T07:39:55.218642441Z",
             "policy_id": ""
            }
        },
     "meta":
        {"version": "12765"},
     "pointer_size": "8",
     "last_seen": "2019-06-24T07:45:34Z",
     "agent_local_time": "2019-06-18T12:17:06.259Z",
     "first_seen": "2019-04-29T07:39:45Z",
     "service_pack_major": "0",
     "slow_changing_modified_timestamp": "2019-06-23T11:20:42Z",
     "service_pack_minor": "0",
     "system_product_name":"Virtual Machine",
     "product_type_desc": "Server",
     "build_number": "9600",
     "cid": "",
     "local_ip": "192.0.2.1",
     "external_ip": "203.0.113.1",
     "hostname": "example-hostname",
     "config_id_build": "9106",
     "minor_version": "3",
     "platform_id": "0",
     "os_version": "Windows Server 2012 R2",
     "config_id_base": "example-id",
     "provision_status": "Provisioned",
     "mac_address": "01-23-45-ab-cd-ef",
     "bios_version": "090007 ",
     "platform_name": "Windows",
     "agent_load_flags": "1",
     "device_id": "",
     "product_type": "3",
     "agent_version": "5.10.9106.0"
   },
 "Entity": "198.51.100.255"
 }

הודעות פלט

הפעולה Lift Contained Endpoint מספקת את הודעות הפלט הבאות:

הודעת פלט	תיאור ההודעה
Successfully lifted containment on the following endpoints in CrowdStrike Falcon: ENTITY_ID The following endpoints were not contained in CrowdStrike Falcon: ENTITY_ID The following endpoints were not found in CrowdStrike Falcon: ENTITY_ID	הפעולה הסתיימה בהצלחה.
Waiting for containment lift to finish for the following endpoints: ENTITY_ID	הודעה אסינכרונית.
Error executing action "Lift Contained Endpoint". Reason: the following endpoints initiated containment lift, but were not able to finish it during action execution: ENTITY_ID	הפעולה נכשלה. בודקים את הסטטוס של נקודת הקצה ואת ערך הפרמטר Fail If Timeout.
Error executing action "Lift Contained Endpoint". Reason: ERROR_REASON	הפעולה נכשלה. צריך לבדוק את החיבור לשרת, את פרמטרי הקלט או את פרטי הכניסה.

תוצאת הסקריפט

בטבלה הבאה מפורטים הערכים של פלט התוצאה של הסקריפט כשמשתמשים בפעולה Lift Contained Endpoint:

שם התוצאה של הסקריפט	ערך
is_success	True או False

הצגת רשימה של נקודות חולשה במארח

משתמשים בפעולה List Host Vulnerabilities כדי להציג רשימה של נקודות חולשה שנמצאו במארח ב-CrowdStrike Falcon.

כדי לבצע את הפעולה הזו צריך רישיון והרשאות ל-Falcon Spotlight.

הפעולה הזו מופעלת בישויות הבאות:

• כתובת IP
• שם המארח

הוספת נתונים לפעולה

הפעולה List Host Vulnerabilities (הצגת נקודות חולשה במארח) דורשת את הפרמטרים הבאים:

פרמטרים
Customer ID	אופציונלי מציינים את מזהה הלקוח שעבורו רוצים לבצע את הפעולה.
Device ID	אופציונלי רשימה של מזהי מכשירים מופרדים בפסיקים שבהם רוצים להפעיל את הפעולה. הערה: הפעולה מבוצעת גם על הישויות שמצורפות לתיק וגם על ערכי הפרמטרים האלה.
Severity Filter	אופציונלי מציינים רשימה מופרדת בפסיקים של רמות חומרה של פגיעויות. אם לא מציינים כלום, הפעולה מטמיעה את כל הפגיעויות שקשורות אליה. ערכים אפשריים: Critical, High, Medium, Low, Unknown.
Create Insight	אופציונלי אם בוחרים באפשרות הזו, הפעולה יוצרת תובנה לכל ישות, שמכילה מידע סטטיסטי על פגיעויות קשורות. האפשרות הזו מסומנת כברירת מחדל.
Max Vulnerabilities To Return	אופציונלי מציינים כמה פגיעויות להחזיר לכל מארח. אם לא מספקים כלום, הפעולה מעבדת את כל הפגיעויות שקשורות אליה. ערך ברירת המחדל הוא 100.

פלט של פעולות

הפעולה List Host Vulnerabilities מספקת את הפלט הבא:

סוג הפלט של הפעולה
קיר עם תושבת	לא זמין
קישור לקיר של הפנייה	לא זמין
טבלת בקשות תמיכה	יש גישה
טבלת העשרה	לא זמין
תוצאה בפורמט JSON	יש גישה
הודעות פלט	יש גישה
תוצאת הסקריפט	יש גישה

טבלת בקשות תמיכה

ב-Case Wall, הפעולה List Host Vulnerabilities מספקת את הטבלה הבאה:

סוג: ישות

עמודות:

• שם
• Score
• חוּמרה
• סטטוס
• אפליקציה
• יש תיקון

תוצאה בפורמט JSON

בדוגמה הבאה מתואר פלט תוצאת ה-JSON שמתקבל כשמשתמשים בפעולה List Host Vulnerabilities:

{
    "statistics": {
        "total": 123,
        "severity": {
            "critical": 1,
            "high": 1,
            "medium": 1,
            "low": 1,
            "unknown": 1
        },
        "status": {
            "open": 1,
            "reopened": 1
        },
        "has_remediation": 1
    },
    "details": [
        {
            "id": "74089e36ac3a4271ab14abc076ed18eb_fff6de34c1b7352babdf7c7d240749e7",
            "cid": "123456789abcdef123456789abcdef12",
            "aid": "74089e36ac3a4271ab14abc076ed18eb",
            "created_timestamp": "2021-05-12T22:45:47Z",
            "updated_timestamp": "2021-05-12T22:45:47Z",
            "status": "open",
            "cve": {
                "id": "CVE-2021-28476",
                "base_score": 9.9,
                "severity": "CRITICAL",
                "exploit_status": 0
            },
            "app": {
                "product_name_version": "Example 01"
            },
            "apps": [
                {
                    "product_name_version": "Example 01",
                    "sub_status": "open",
                    "remediation": {
                        "ids": [
                            "acc34cd461023ff8a966420fa8839365"
                        ]
                    }
                }
            ],
            "host_info": {
                "hostname": "example-hostname",
                "local_ip": "192.0.2.1",
                "machine_domain": "",
                "os_version": "Windows 10",
                "ou": "",
                "site_name": "",
                "system_manufacturer": "Example Inc.",
                "groups": [],
                "tags": [],
                "platform": "Windows"
            },
            "remediation": [
                {
                    "id": "acc34cd461023ff8a966420fa8839365",
                    "reference": "KB5003169",
                    "title": "Update Microsoft Windows 10 1909",
                    "action": "Install patch for Microsoft Windows 10 1909 x64 (Workstation): Security Update ABCDEF",
                    "link": "https://example.com/ABCDEF"
                }
            ]
        }
    ]
}

הודעות פלט

הפעולה List Host Vulnerabilities (רשימת נקודות החולשה של המארח) מספקת את הודעות הפלט הבאות:

הודעת פלט	תיאור ההודעה
Successfully retrieved vulnerabilities for the following hosts: ENTITIES No vulnerabilities were found for the following hosts: ENTITIES	הפעולה הסתיימה בהצלחה.
Error executing action "List Host Vulnerabilities". Reason: ERROR_REASON	הפעולה נכשלה. צריך לבדוק את החיבור לשרת, את פרמטרי הקלט או את פרטי הכניסה.
Error executing action "List Host Vulnerabilities". Reason: Invalid value provided in the Severity Filter parameter. Possible values: Critical, High, Medium, Low, Unknown.	הפעולה נכשלה. בודקים את ערך הפרמטר Severity Filter.

תוצאת הסקריפט

בטבלה הבאה מפורטים הערכים של פלט תוצאות הסקריפט כשמשתמשים בפעולה List Host Vulnerabilities:

שם התוצאה של הסקריפט	ערך
is_success	True או False

הצגת רשימה של מארחים

משתמשים בפעולה List Hosts (רשימת מארחים) כדי להציג רשימה של מארחים זמינים ב-CrowdStrike Falcon.

הפעולה הזו מופעלת בכל הישויות.

הוספת נתונים לפעולה

הפעולה List Hosts דורשת את הפרמטרים הבאים:

פרמטרים
Filter Logic	אופציונלי לוגיקה לשימוש כשמחפשים מארחים. ערך ברירת המחדל הוא Equals. הערכים האפשריים הם: Equals Contains
Filter Value	אופציונלי ערך לשימוש בסינון מארחים.
Max Hosts To Return	אופציונלי מספר המארחים שיוחזרו. ערך ברירת המחדל הוא 50. הערך המקסימלי הוא 1000.

פלט של פעולות

הפעולה List Hosts מספקת את הפלט הבא:

סוג הפלט של הפעולה
קיר עם תושבת	לא זמין
קישור לקיר של הפנייה	לא זמין
טבלת בקשות תמיכה	לא זמין
טבלת העשרה	לא זמין
תוצאה בפורמט JSON	יש גישה
הודעות פלט	יש גישה
תוצאת הסקריפט	יש גישה

תוצאה בפורמט JSON

בדוגמה הבאה מתואר פלט תוצאת ה-JSON שמתקבל כשמשתמשים בפעולה List Hosts:

[{
   "modified_timestamp": "2019-05-15T15:03:12Z",
   "platform_id": "0",
   "config_id_platform": "3",
   "system_manufacturer": "Example Corporation",
   "meta": {"version": "4067"},
   "first_seen": "2019-04-29T07:39:45Z",
   "service_pack_minor": "0",
   "product_type_desc": "Server",
   "build_number": "9600",
   "hostname": "example-hostname",
   "config_id_build": "8904",
   "minor_version": "3",
   "os_version": "Windows Server 2012 R2",
   "provision_status": "Provisioned",
   "mac_address": "01:23:45:ab:cd:ef",
   "bios_version": "090007 ",
   "agent_load_flags": "0",
   "status": "normal",
   "bios_manufacturer": "Example Inc.",
   "device_policies":
     {
      "Sensor_update":
         {
           "applied": true,
           "applied_date": "2019-05-02T22:05:09.577000651Z",
           "settings_hash": "65994753|3|2|automatic",
           "policy_type": "sensor-update",
           "assigned_date": "2019-05-02T22:03:36.804382667Z",
           "policy_id": "9d1e405846de4ebdb63f674866d390dc"
          },
      "remote_response":
          {
            "applied": true,
            "applied_date": "2019-04-29T07:40:04.469808388Z",
            "settings_hash": "f472bd8e",
            "policy_type": "remote-response",
            "assigned_date": "2019-04-29T07:39:55.218642441Z",
            "policy_id": "21e4fb4dedd74c6fb0bcd6a348aa046c"
           },
     "device_control":
          {
            "applied": true,
            "applied_date": "2019-04-29T07:40:06.896362608Z",
            "assigned_date": "2019-04-29T07:39:55.218637999Z",
            "policy_type": "device-control",
            "policy_id": "c360df7193364b23aa4fc47f0238c899"
           },
     "prevention":
           {
            "applied": true,
            "applied_date": "2019-04-29T07:40:06.876850888Z",
            "settings_hash": "ce17279e",
            "policy_type": "prevention",
            "assigned_date": "2019-04-29T07:39:55.218651583Z",
            "policy_id": "7efdf97d7805402186b61151e8abd745"
           },
     "global_config":
          {
            "applied": true,
            "applied_date": "2019-04-29T07:45:18.94807838Z",
            "settings_hash": "3d78f9ab",
            "policy_type": "globalconfig",
            "assigned_date": "2019-04-29T07:45:08.165941325Z",
            "policy_id": "985b1a25afcb489ea442d2d1430b1679"
           }
      },
   "cid": "123456789abcdef123456789abcdef12",
   "agent_local_time": "2019-05-02T22:05:00.015Z",
   "slow_changing_modified_timestamp": "2019-05-02T22:05:09Z",
   "service_pack_major": "0",
   "device_id": "0ab8bc6d968b473b72a5d11a41a24c21",
   "system_product_name": "Virtual Machine",
   "product_type": "3",
   "local_ip": "192.0.2.1",
   "external_ip": "203.0.113.1",
   "major_version": "6",
   "platform_name": "Windows",
   "config_id_base": "65994753",
   "policies":
     [{
        "applied": true,
        "applied_date": "2019-04-29T07:40:06.876850888Z",
        "settings_hash": "ce17279e",
        "policy_type": "prevention",
        "assigned_date": "2019-04-29T07:39:55.218651583Z",
        "policy_id": "7efdf97d7805402186b61151e8abd745"
      }],
   "agent_version": "4.26.8904.0",
   "pointer_size": "8",
   "last_seen": "2019-05-15T15:01:23Z"
 },
 {
  "modified_timestamp": "2019-05-13T07:24:36Z",
  "site_name": "Example-Site-Name",
  "config_id_platform": "3",
  "system_manufacturer": "Example Inc.",
  "meta": {"version": "14706"},
  "first_seen": "2018-04-17T11:02:20Z",
  "platform_name": "Windows",
  "service_pack_minor": "0",
  "product_type_desc": "Workstation",
  "build_number": "17134",
  "hostname": "example-hostname",
  "config_id_build": "8904",
  "minor_version": "0",
  "os_version": "Windows 10",
  "provision_status": "Provisioned",
  "mac_address": "01:23:45:ab:cd:ef",
  "bios_version": "1.6.5",
  "agent_load_flags": "0",
  "status": "normal",
  "bios_manufacturer": "Example Inc.",
  "machine_domain": "example.com",
  "device_policies":
     {
       "sensor_update":
         {
          "applied": true,
          "applied_date": "2019-05-05T12:52:23.121596885Z",
          "settings_hash": "65994753|3|2|automatic",
          "policy_type": "sensor-update",
          "assigned_date": "2019-05-05T12:51:37.544605747Z",
          "policy_id": "9d1e405846de4ebdb63f674866d390dc"
         },
       "Remote_response":
         {
          "applied": true,
          "applied_date": "2019-02-10T07:57:59.064362539Z",
          "settings_hash": "f472bd8e",
          "policy_type": "remote-response",
          "assigned_date": "2019-02-10T07:57:50.610924385Z",
          "policy_id": "21e4fb4dedd74c6fb0bcd6a348aa046c"
         },
      "device_control":
          {
            "applied": true,
            "applied_date": "2019-03-25T15:01:28.51681072Z",
            "assigned_date": "2019-03-25T15:00:22.442519168Z",
            "policy_type": "device-control",
            "policy_id": "c360df7193364b23aa4fc47f0238c899"
          },
      "Prevention":
          {
            "applied": true,
            "applied_date": "2019-04-04T06:54:06.909774295Z",
            "settings_hash": "ce17279e",
            "policy_type": "prevention",
            "assigned_date": "2019-04-04T06:53:57.135897343Z",
            "policy_id": "7efdf97d7805402186b61151e8abd745"
          },
      "global_config":
          {
            "applied": true,
            "applied_date": "2019-02-10T07:57:53.70275875Z",
            "settings_hash": "3d78f9ab",
            "policy_type": "globalconfig",
            "assigned_date": "2019-02-10T07:57:50.610917888Z",
            "policy_id": "985b1a25afcb489ea442d2d1430b1679"
           }
     },
 "cid": "123456789abcdef123456789abcdef12",
 "agent_local_time": "2019-05-05T15:52:08.172Z",
 "slow_changing_modified_timestamp": "2019-05-12T12:37:35Z",
 "service_pack_major": "0",
 "device_id": "cb4493e4af2742b068efd16cb48b7260",
 "system_product_name": "example-name",
 "product_type": "1",
 "local_ip": "192.0.2.1",
 "external_ip": "203.0.113.1",
 "major_version": "10",
 "platform_id": "0",
 "config_id_base": "65994753",
 "policies":
    [{
       "applied": true,
       "applied_date": "2019-04-04T06:54:06.909774295Z",
       "settings_hash": "ce17279e",
       "policy_type": "prevention",
       "assigned_date": "2019-04-04T06:53:57.135897343Z",
       "policy_id": "7efdf97d7805402186b61151e8abd745"
     }],
 "agent_version": "4.26.8904.0",
 "pointer_size": "8",
 "last_seen": "2019-05-13T07:21:30Z"
},
{
  "modified_timestamp": "2019-05-09T14:22:50Z",
  "site_name": "Example-Site-Name",
  "config_id_platform": "3",
  "system_manufacturer": "Dell Inc.",
  "meta": {"version": "77747"},
  "first_seen": "2018-07-01T12:19:23Z",
  "platform_name": "Windows",
 "service_pack_minor": "0",
 "product_type_desc": "Workstation",
 "build_number": "17134",
 "hostname":"example-hostname",
 "config_id_build": "8904",
 "minor_version": "0",
 "os_version": "Windows 10",
 "provision_status": "Provisioned",
 "mac_address": "01:23:45:ab:cd:ef",
 "bios_version": "1.2.1",
 "agent_load_flags": "0",
 "status": "normal",
 "bios_manufacturer": "Example Inc.",
 "machine_domain": "example.com",
 "device_policies":
    {
      "sensor_update":
       {
         "applied": true,
         "applied_date": "2019-05-02T22:10:50.336101107Z",
         "settings_hash": "65994753|3|2|automatic",
         "policy_type": "sensor-update",
         "assigned_date": "2019-05-02T22:10:50.336100731Z",
         "policy_id": "9d1e405846de4ebdb63f674866d390dc"
        },
      "remote_response":
       {
         "applied": true,
         "applied_date": "2019-02-08T02:46:31.919442939Z",
         "settings_hash": "f472bd8e",
         "policy_type": "remote-response",
         "assigned_date": "2019-02-08T02:46:22.219718098Z",
         "policy_id": "21e4fb4dedd74c6fb0bcd6a348aa046c"
        },
 "device_control":
     {
       "applied": true,
       "applied_date": "2019-03-24T16:43:31.777981725Z",
       "assigned_date": "2019-03-24T16:42:21.395540493Z",
       "policy_type": "device-control",
       "policy_id": "c360df7193364b23aa4fc47f0238c899"
     },
 "prevention":
     {
      "applied": true,
      "applied_date": "2019-04-03T23:58:50.870694195Z",
      "settings_hash": "ce17279e",
      "policy_type": "prevention",
      "assigned_date": "2019-04-03T23:57:22.534513932Z",
      "policy_id": "7efdf97d7805402186b61151e8abd745"
     },
 "global_config":
     {
      "applied": true,
      "applied_date": "2019-02-08T01:14:14.810607774Z",
      "settings_hash": "3d78f9ab",
      "policy_type": "globalconfig",
      "assigned_date": "2019-02-08T01:14:05.585922067Z",
      "policy_id": "985b1a25afcb489ea442d2d1430b1679"
      }
 },
  "cid": "123456789abcdef123456789abcdef12",
  "agent_local_time": "2019-05-03T01:10:29.340Z",
  "slow_changing_modified_timestamp": "2019-05-02T22:10:46Z",
  "service_pack_major": "0",
  "device_id": "1c2f1a7f88f8457f532f1c615f07617b",
  "system_product_name": "Example Name",
  "product_type": "1",
  "local_ip": "192.0.2.1",
  "external_ip": "203.0.113.1",
  "major_version": "10",
  "platform_id": "0",
  "config_id_base": "65994753",
  "policies":
     [{
       "applied": true,
       "applied_date": "2019-04-03T23:58:50.870694195Z",
       "settings_hash": "ce17279e",
       "policy_type": "prevention",
       "assigned_date": "2019-04-03T23:57:22.534513932Z",
       "policy_id": "7efdf97d7805402186b61151e8abd745"
     }],
 "agent_version": "4.26.8904.0",
 "pointer_size": "8",
 "last_seen": "2019-05-09T14:20:53Z"
}]

הודעות פלט

הפעולה List Hosts מספקת את הודעות הפלט הבאות:

הודעת פלט	תיאור ההודעה
Successfully retrieved available hosts based on the provided criteria. No hosts were found for the provided criteria.	הפעולה הסתיימה בהצלחה.
Error executing action "List Hosts". Reason: ERROR_REASON	הפעולה נכשלה. צריך לבדוק את החיבור לשרת, את פרמטרי הקלט או את פרטי הכניסה.

תוצאת הסקריפט

בטבלה הבאה מפורטים הערכים של פלט התוצאות של הסקריפט כשמשתמשים בפעולה List Hosts:

שם התוצאה של הסקריפט	ערך
is_success	True או False

הצגת רשימה של אינדיקטורים של פריצות (IOC) שהועלו

משתמשים בפעולה List Uploaded IOCs כדי להציג רשימה של IOC מותאמים אישית שזמינים ב-CrowdStrike Falcon.

הפעולה הזו מופעלת בכל הישויות.

הוספת נתונים לפעולה

הפעולה List Uploaded IOCs (רשימת IOC שהועלו) דורשת את הפרמטרים הבאים:

פרמטרים
IOC Type Filter	אופציונלי רשימה מופרדת בפסיקים של סוגי IOC להחזרה. ערך ברירת המחדל הוא ipv4,ipv6,md5,sha1,sha256,domain. הערכים האפשריים הם: ipv4 ipv6 md5 sha1 sha256 domain
Value Filter Logic	אופציונלי ערך של לוגיקת הסינון. ערך ברירת המחדל הוא Equal. הערכים האפשריים הם: Equal Contains אם מוגדר Equal, הפעולה מנסה למצוא התאמה מדויקת בין ה-IOC. אם מוגדר Contains, הפעולה מנסה למצוא IOC שמכיל את מחרוזת המשנה שנבחרה.
Value Filter String	אופציונלי מחרוזת לחיפוש בין ה-IOC.
Max IOCs To Return	אופציונלי מספר ה-IOCs להחזרה. ערך ברירת המחדל הוא 50. הערך המקסימלי הוא 500.

פלט של פעולות

הפעולה List Uploaded IOCs מספקת את הפלט הבא:

סוג הפלט של הפעולה
קיר עם תושבת	לא זמין
קישור לקיר של הפנייה	לא זמין
טבלת בקשות תמיכה	יש גישה
טבלת העשרה	לא זמין
תוצאה בפורמט JSON	יש גישה
הודעות פלט	יש גישה
תוצאת הסקריפט	יש גישה

טבלת בקשות תמיכה

ב-Case Wall, הפעולה List Uploaded IOCs (רשימת IOC שהועלו) מספקת את הטבלה הבאה:

עמודות:

• פעולה
• חוּמרה
• חתם/ה
• להיטי AV
• פלטפורמות
• תגים
• נוצר בשעה
• נוצר על ידי

תוצאה בפורמט JSON

בדוגמה הבאה מתואר פלט תוצאות JSON שמתקבל כשמשתמשים בפעולה List Uploaded IOCs:

{
            "id": "fbe8c2739f3c6df95e62e0ae54569974437b2d9306eaf6740134ccf1a05e23d3",
            "type": "sha256",
            "value": "8a86c4eecf12446ff273afc03e1b3a09a911d0b7981db1af58cb45c439161295",
            "action": "no_action",
            "severity": "",
            "metadata": {
                "signed": false,
                "av_hits": -1
            },
            "platforms": [
                "windows"
            ],
            "tags": [
                "Hashes 22.Nov.20 15:29 (Windows)"
            ],
            "expired": false,
            "deleted": false,
            "applied_globally": true,
            "from_parent": false,
            "created_on": "2021-04-22T03:54:09.235120463Z",
            "created_by": "[e-mail]",
            "modified_on": "2021-04-22T03:54:09.235120463Z",
            "modified_by": "[e-mail]"
        }

הודעות פלט

הפעולה List Uploaded IOCs מספקת את הודעות הפלט הבאות:

הודעת פלט	תיאור ההודעה
Successfully found custom IOCs for the provided criteria in CrowdStrike Falcon.	הפעולה הסתיימה בהצלחה.
Error executing action "List Uploaded IOCs". Reason: ERROR_REASON	הפעולה נכשלה. צריך לבדוק את החיבור לשרת, את פרמטרי הקלט או את פרטי הכניסה.
Error executing action "List Uploaded IOCs". Reason: "IOC Type Filter" contains an invalid value. Please check the spelling. Possible values: ipv4, ipv6, md5, sha1, sha256, domain.	הפעולה נכשלה. בודקים את האיות ואת ערך הפרמטר IOC Type Filter.

תוצאת הסקריפט

בטבלה הבאה מפורטים הערכים של פלט התוצאה של הסקריפט כשמשתמשים בפעולה List Uploaded IOCs:

שם התוצאה של הסקריפט	ערך
is_success	True או False

סריקה על פי דרישה

משתמשים בפעולה On-Demand Scan (סריקה לפי דרישה) כדי לסרוק את נקודת הקצה לפי דרישה ב-CrowdStrike.

הפעולה הזו פועלת רק במארחי Windows ובגורמים הבאים:

• כתובת IP
• שם המארח

הפעולה On-Demand Scan (סריקה לפי דרישה) פועלת באופן אסינכרוני. במקרה הצורך, משנים את הערך של הזמן הקצוב לתפוגה של הסקריפט ב-Google SecOps IDE.

הוספת נתונים לפעולה

הפעולה On-Demand Scan (סריקה לפי דרישה) דורשת את הפרמטרים הבאים:

פרמטרים
Customer ID	אופציונלי מציינים את מזהה הלקוח שעבורו רוצים לבצע את הפעולה.
File Paths To Scan	חובה רשימה של נתיבים לסריקה, מופרדים בפסיקים. ערך ברירת המחדל הוא C:\Windows.
File Paths To Exclude From Scan	אופציונלי רשימה מופרדת בפסיקים של נתיבים שצריך להחריג מהסריקה.
Host Group Name	אופציונלי רשימה של שמות קבוצות מארחים מופרדים בפסיקים, שסריקה שלהם תופעל. הערה: לכל קבוצת מארחים נוצר תהליך סריקה נפרד.
Scan Description	אופציונלי תיאור הסריקה. אם לא מציינים ערך, הפעולה מגדירה את התיאור ל-Scan initialized by Chronicle SecOps.
CPU Priority	אופציונלי כמות ה-CPU שבה יש להשתמש עבור המארח הבסיסי במהלך הסריקה. ערכים אפשריים: Up to 1% CPU utilization, Up to 25% CPU utilization, Up to 50% CPU utilization, Up to 75% CPU utilization, Up to 100% CPU utilization. ערך ברירת המחדל הוא Up to 25% CPU utilization.
Sensor Anti-malware Detection Level	אופציונלי מציינים את רמת הזיהוי של תוכנות זדוניות בחיישן. הערה: רמת הזיהוי צריכה להיות שווה לרמת המניעה או גבוהה ממנה. ערכים אפשריים: Cautious, ‏ Moderate, ‏ Aggressive, ‏ Extra Aggressive. ערך ברירת המחדל הוא Moderate.
Sensor Anti-malware Prevention Level	אופציונלי מציינים את רמת מניעת התוכנות הזדוניות של החיישן. הערה: רמת הזיהוי צריכה להיות שווה לרמת המניעה או גבוהה ממנה. ערכים אפשריים: Cautious, Moderate, Aggressive, Extra Aggressive, Disabled. ערך ברירת המחדל הוא Moderate.
Cloud Anti-malware Detection Level	אופציונלי מציינים את רמת הזיהוי של תוכנות זדוניות בענן. הערה: רמת הזיהוי צריכה להיות שווה לרמת המניעה או גבוהה ממנה. ערכים אפשריים: Cautious, ‏ Moderate, ‏ Aggressive, ‏ Extra Aggressive. ערך ברירת המחדל הוא Moderate.
Cloud Anti-malware Prevention Level	אופציונלי מציינים את רמת המניעה של תוכנות זדוניות בענן. הערה: רמת הזיהוי צריכה להיות שווה לרמת המניעה או גבוהה ממנה. ערכים אפשריים: Cautious, Moderate, Aggressive, Extra Aggressive, Disabled. ערך ברירת המחדל הוא Moderate.
Quarantine Hosts	אופציונלי אם האפשרות הזו נבחרה, המארחים הבסיסיים מוכנסים להסגר כחלק מהסריקה. האפשרות הזו לא מסומנת כברירת מחדל.
Create Endpoint Notification	אופציונלי אם האפשרות הזו נבחרה, תהליך הסריקה יוצר התראה על נקודת קצה. האפשרות הזו מסומנת כברירת מחדל.
Max Scan Duration	אופציונלי מספר השעות להרצת הסריקה. אם לא מציינים ערך, הסריקה פועלת ברציפות. ערך ברירת המחדל הוא 1.
Hostname	אופציונלי רשימה של שמות מארחים מופרדים בפסיקים שבהם רוצים לבצע את הפעולה. הערה: הפעולה מבוצעת גם על הישויות שמצורפות לתיק וגם על ערכי הפרמטרים האלה.
Device ID	אופציונלי רשימה של מזהי מכשירים מופרדים בפסיקים שבהם רוצים להפעיל את הפעולה. הערה: הפעולה מבוצעת גם על הישויות שמצורפות לתיק וגם על ערכי הפרמטרים האלה.

פלט של פעולות

הפעולה On-Demand Scan מספקת את הפלט הבא:

סוג הפלט של הפעולה	זמינות
קיר עם תושבת	לא זמין
קישור לקיר של הפנייה	לא זמין
טבלת בקשות תמיכה	לא זמין
טבלת העשרה	לא זמין
תוצאה בפורמט JSON	יש גישה
הודעות פלט	יש גישה
תוצאת הסקריפט	יש גישה

תוצאה בפורמט JSON

בדוגמה הבאה מתואר פלט תוצאת ה-JSON שמתקבל כשמשתמשים בפעולה On-Demand Scan:

{
 "id": "ID",
 "cid": "123456789abcdef123456789abcdef12",
 "profile_id": "c94149b9a52d4c76b027e63a88dcc710",
 "description": "test APIS ",
 "file_paths": [
     "C:\\Windows"
 ],
 "initiated_from": "falcon_adhoc",
 "quarantine": true,
 "cpu_priority": 1,
 "preemption_priority": 1,
 "metadata": [
     {
         "host_id": "HOST_ID",
         "host_scan_id": "909262bd2fff664282a46464d8625a62",
         "scan_host_metadata_id": "815dae51d8e543108ac01f6f139f42b1",
         "filecount": {
             "scanned": 16992,
             "malicious": 0,
             "quarantined": 0,
             "skipped": 124998,
             "traversed": 198822
         },
         "status": "completed",
         "started_on": "2024-02-05T13:55:45.25066635Z",
         "completed_on": "2024-02-05T14:11:18.092427363Z",
         "last_updated": "2024-02-05T14:11:18.092431457Z"
     }
 ],
 "filecount": {
     "scanned": 16992,
     "malicious": 0,
     "quarantined": 0,
     "skipped": 124998,
     "traversed": 198822
 },
 "targeted_host_count": 1,
 "completed_host_count": 1,
 "status": "completed",
 "hosts": [
     "86db81f390394cb080417a1ffb7d46fd"
 ],
 "endpoint_notification": true,
 "pause_duration": 2,
 "max_duration": 1,
 "max_file_size": 60,
 "sensor_ml_level_detection": 2,
 "sensor_ml_level_prevention": 2,
 "cloud_ml_level_detection": 2,
 "cloud_ml_level_prevention": 2,
 "policy_setting": [
     26439818674573,
 ],
 "scan_started_on": "2024-02-05T13:55:45.25Z",
 "scan_completed_on": "2024-02-05T14:11:18.092Z",
 "created_on": "2024-02-05T13:55:43.436807525Z",
 "created_by": "88f5d9e8284f4b85b92dab2389cb349d",
 "last_updated": "2024-02-05T14:14:18.776620391Z"
}

הודעות פלט

הפעולה On-Demand Scan מספקת את הודעות הפלט הבאות:

הודעת פלט	תיאור ההודעה
Successfully scanned and returned results for the following hosts in CrowdStrike: ENTITIES Action couldn't start a scan on the following hosts in CrowdStrike: ENTITIES. They are either not found or non-Windows instances. None of the provided hosts were found or none of the hosts were Windows instances. No scans have been created. Successfully scanned and returned results for the following host groups in CrowdStrike: HOST_GROUPS The following host groups were not found in CrowdStrike: HOST_GROUPS None of the provided host groups were found in CrowdStrike. Waiting for scan results for the following entities or host groups: ENTITIES_OR_HOST_GROUPS	הפעולה הסתיימה בהצלחה.
Error executing action "On-Demand Scan". Reason: ERROR_REASON Error executing action "On-Demand Scan". Reason: Detection level should be equal to or higher than the Prevention level. Please check the corresponding parameters.	הפעולה נכשלה. צריך לבדוק את החיבור לשרת, את פרמטרי הקלט או את פרטי הכניסה.

תוצאת הסקריפט

בטבלה הבאה מפורטים הערכים של פלט התוצאות של הסקריפט כשמשתמשים בפעולה On-Demand Scan:

שם התוצאה של הסקריפט	ערך
is_success	True או False

פינג

משתמשים בפעולה Ping כדי לבדוק את הקישוריות אל CrowdStrike Falcon.

הפעולה הזו מופעלת בכל הישויות.

הוספת נתונים לפעולה

אין.

פלט של פעולות

הפעולה Ping מספקת את הפלטים הבאים:

סוג הפלט של הפעולה
קיר עם תושבת	לא זמין
קישור לקיר של הפנייה	לא זמין
טבלת בקשות תמיכה	לא זמין
טבלת העשרה	לא זמין
תוצאה בפורמט JSON	לא זמין
תוצאת הסקריפט	יש גישה

תוצאת הסקריפט

בטבלה הבאה מפורטים הערכים של פלט התוצאה של הסקריפט כשמשתמשים בפעולה Ping:

שם התוצאה של הסקריפט	ערך
is_success	True או False

הרצת הסקריפט

משתמשים בפעולה Run Script (הפעלת סקריפט) כדי להריץ סקריפט PowerShell בנקודות הקצה ב-CrowdStrike.

הפעולה הזו היא אסינכרונית. במקרה הצורך, משנים את הערך של הזמן הקצוב לתפוגה של הסקריפט ב-Google SecOps IDE.

הפעולה הזו מופעלת על ישויות של כתובות IP ושמות מארחים.

הוספת נתונים לפעולה

הפעולה Run Script (הפעלת סקריפט) דורשת את הפרמטרים הבאים:

פרמטרים
Customer ID	אופציונלי מציינים את מזהה הלקוח שעבורו רוצים לבצע את הפעולה.
Script Name	אופציונלי השם של קובץ הסקריפט שצריך להפעיל. הערה: חובה לציין את הערך Script Name או Raw Script. אם מספקים את שניהם, Raw Script מקבל עדיפות.
Raw Script	אופציונלי מטען ייעודי (payload) של סקריפט PowerShell גולמי שצריך להפעיל בנקודות הקצה. הערה: חובה לספק את הערך Script Name או Raw Script. אם מספקים את שניהם, Raw Script מקבל עדיפות.
Hostname	אופציונלי רשימה של שמות מארחים מופרדים בפסיקים שבהם רוצים לבצע את הפעולה. הערה: הפעולה מבוצעת גם על הישויות שמצורפות לתיק וגם על ערכי הפרמטרים האלה.
Device ID	אופציונלי רשימה של מזהי מכשירים מופרדים בפסיקים שבהם רוצים להפעיל את הפעולה. הערה: הפעולה מבוצעת גם על הישויות שמצורפות לתיק וגם על ערכי הפרמטרים האלה.
Queue Offline	אופציונלי אם האפשרות הזו נבחרה, פקודות שמיועדות למארחים אופליין מתווספות לתור ומופעלות ברגע שהמארח מתחבר מחדש לרשת. האפשרות הזו לא מסומנת כברירת מחדל.

פלט של פעולות

הפעולה Run Script מספקת את הפלט הבא:

סוג הפלט של הפעולה	זמינות
קיר עם תושבת	לא זמין
קישור לקיר של הפנייה	לא זמין
טבלת בקשות תמיכה	לא זמין
טבלת העשרה	לא זמין
תוצאה בפורמט JSON	לא זמין
הודעות פלט	יש גישה
תוצאת הסקריפט	יש גישה

הודעות פלט

ב-Case Wall, הפעולה Run Script מספקת את הודעות הפלט הבאות:

הודעת פלט	תיאור ההודעה
Successfully executed script SCRIPT_OR_PAYLOAD on the following endpoints in CrowdStrike: ENTITIES Action wasn't able to execute script SCRIPT_OR_PAYLOAD on the following endpoints in CrowdStrike: ENTITIES Script wasn't executed on the provided endpoints in CrowdStrike. Waiting for the scripts to finish execution on the following endpoints: ENTITIES	הפעולה הסתיימה בהצלחה.
Error executing action "Run Script". Reason: ERROR_REASON Error executing action "Run Script". Reason: either "Script Name" or "Raw Script" should be provided.	הפעולה נכשלה. צריך לבדוק את החיבור לשרת, את פרמטרי הקלט או את פרטי הכניסה.

תוצאת הסקריפט

בטבלה הבאה מפורטים הערכים של פלט התוצאה של הסקריפט כשמשתמשים בפעולה Run Script:

שם התוצאה של הסקריפט	ערך
is_success	True או False

חיפוש אירועים

משתמשים בפעולה הזו כדי לחפש אירועים ב-CrowdStrike. הערה: הפעולה מופעלת באופן אסינכרוני. אם צריך, אפשר לשנות את ערך הזמן הקצוב לתפוגה של הסקריפט ב-Google SecOps IDE.

הפעולה הזו לא מופעלת בישויות.

הוספת נתונים לפעולה

הפעולה חיפוש אירועים דורשת את הפרמטרים הבאים:

פרמטרים
Repository	חובה מאגר המידע שצריך לחפש בו. הערכים האפשריים הם: All Falcon Third Party IT Automation Forensics
Query	חובה שאילתה שצריך להריץ ב-CrowdStrike. הערה: אל תציינו את הערך 'head' כחלק מהשאילתה. הפעולה תספק אותו באופן אוטומטי על סמך הערך שצוין בפרמטר Max Results To Return (מספר התוצאות המקסימלי להחזרה).
Time Frame	אופציונלי לוח זמנים לתוצאות. אם בוחרים באפשרות 'בהתאמה אישית', צריך גם לציין את 'שעת ההתחלה'. הערכים האפשריים של 'שעה אחרונה' הם: Last Hour Last 6 Hours Last 24 Hours Last Week Last Month Custom
Start Time	אופציונלי שעת ההתחלה של התוצאות. אם בוחרים באפשרות 'מותאם אישית' לפרמטר 'מסגרת זמן', חובה להשתמש בפרמטר הזה. פורמט: ISO 8601.
End Time	אופציונלי כמה תוצאות להחזיר לשאילתה. הפעולה תוסיף את המחרוזת head לשאילתה שצוינה. ברירת מחדל: 50. מקסימום: 1,000.

פלט של פעולות

הפעולה חיפוש אירועים מספקת את הפלט הבא:

סוג הפלט של הפעולה	זמינות
קיר עם תושבת	לא זמין
קישור לקיר של הפנייה	לא זמין
טבלת בקשות תמיכה	לא זמין
טבלת העשרה	לא זמין
תוצאה בפורמט JSON	יש גישה
הודעות פלט	יש גישה
תוצאת הסקריפט	יש גישה

הודעות פלט

ב-Case Wall, הפעולה חיפוש אירועים מספקת את הודעות הפלט הבאות:

הודעת פלט	תיאור ההודעה
Successfully returned results for the query "{query}" in CrowdStrike. No results were found for the query "{query}" in CrowdStrike Waiting for the search job to finish...	הפעולה לא אמורה להיכשל או להפסיק את ההרצה של ספר ההפעלה.
Error executing action "Search Events". Reason: {0}''.format(error.Stacktrace) Error executing action "Search Events". Reason: {0}''.format(message) Error executing action "Search Events". Reason: query Job {query id} has expired. Please decrease the async polling interval.	הפעולה נכשלה.

תוצאת הסקריפט

בטבלה הבאה מפורטים הערכים של פלט התוצאות של הסקריפט כשמשתמשים בפעולה חיפוש אירועים:

שם התוצאה של הסקריפט	ערך
is_success	True או False

שליחת קובץ

משתמשים בפעולה Submit File (שליחת קובץ) כדי לשלוח קבצים לארגז חול ב-CrowdStrike.

כדי לבצע את הפעולה הזו צריך רישיון ל-Falcon Sandbox.

הפעולה הזו לא מופעלת בישויות.

פורמטים נתמכים של קבצים וארכיונים

לפי פורטל CrowdStrike, ארגז החול תומך בפורמטים הבאים של קבצים:

פורמטים נתמכים של קבצים
.exe, .scr, .pif, .dll, .com, .cpl	קבצים ניידים להפעלה
.doc, .docx, .ppt, .pps, .pptx, .ppsx, .xls, .xlsx, .rtf, .pub	מסמכי Office
.pdf	PDF
.apk	APK
.jar	קובץ JAR ניתן להפעלה
.sct	רכיב סקריפט של Windows
.lnk	קיצור דרך של Windows
.chm	עזרה בנושא Windows
.hta	אפליקציית HTML
.wsf	קובץ סקריפט של Windows
.js	JavaScript
.vbs, .vbe	Visual Basic
.swf	Shockwave Flash
.pl	Perl
.ps1, .psd1, .psm1	Powershell
.svg	גרפיקה וקטורית שניתנת להתאמה
.py	Python
.elf	קובצי הפעלה של ELF ב-Linux
.eml	קובצי אימייל: MIME RFC 822
.msg	שליחת קבצים באימייל: Outlook

לפי פורטל CrowdStrike, ארגז החול תומך בפורמטים הבאים של ארכיונים:

• .zip
• .7z

הוספת נתונים לפעולה

הפעולה Submit File (שליחת קובץ) דורשת את הפרמטרים הבאים:

פרמטרים
File Paths	חובה רשימה של נתיבים מוחלטים לקבצים שנשלחו. הפורמט תלוי בפריסה: פריסת SaaS – הנתיבים הם פנימיים לפלטפורמה המתארחת. פריסה מרחוק – הנתיבים חייבים להיות מוחלטים ותקפים, והם צריכים להיות נתיבי קבצים במחשב המקומי שבו מותקן הסוכן המרוחק (לדוגמה, C:\temp\download ב-Windows או /var/tmp/download/ ב-Linux). רשימת פורמטי הקבצים הנתמכים מופיעה במאמר בנושא פורמטים נתמכים של קבצים וארכיונים.
Sandbox Environment	אופציונלי סביבת ארגז חול לניתוח. ערך ברירת המחדל הוא Windows 10, 64-bit. הערכים האפשריים הם: Linux Ubuntu 16.04, 64-bit Android (static analysis) Windows 10, 64-bit Windows 7, 64-bit Windows 7, 32-bit
Network Environment	אופציונלי סביבת רשת לניתוח. ערך ברירת המחדל הוא Default. הערכים האפשריים הם: Default TOR Offline Simulated
Archive Password	אופציונלי סיסמה לשימוש כשעובדים עם קובצי ארכיון.
Document Password	אופציונלי סיסמה לשימוש כשעובדים עם קובצי Adobe או Office. אורך הסיסמה המקסימלי הוא 32 תווים.
Check Duplicate	אופציונלי אם בוחרים באפשרות הזו, הפעולה בודקת אם הקובץ כבר נשלח בעבר ומחזירה את הדוח שזמין. במהלך האימות, הפעולה לא מתייחסת לפרמטרים Network Environment ו-Sandbox Environment . האפשרות הזו מסומנת כברירת מחדל.
Comment	אופציונלי תגובה לשליחה.
Confidential Submission	אופציונלי אם בוחרים באפשרות הזו, הקובץ מוצג רק למשתמשים בחשבון הלקוח. האפשרות הזו לא מסומנת כברירת מחדל.

פלט של פעולות

הפעולה שליחת קובץ מספקת את הפלטים הבאים:

סוג הפלט של הפעולה
קיר עם תושבת	לא זמין
קישור לקיר של הפנייה	לא זמין
טבלת בקשות תמיכה	יש גישה
טבלת העשרה	לא זמין
תוצאה בפורמט JSON	לא זמין
הודעות פלט	יש גישה
תוצאת הסקריפט	יש גישה

טבלת בקשות תמיכה

ב-Case Wall, הפעולה שליחת קובץ מספקת את הטבלה הבאה:

עמודות:

• תוצאות
• שם
• ציון האיום
• התוצאה
• תגים

הודעות פלט

הפעולה שליחת קובץ מספקת את הודעות הפלט הבאות:

הודעת פלט	תיאור ההודעה
Successfully returned details about the following files using CrowdStrike: PATHS Action wasn't able to return details about the following files using CrowdStrike: PATHS	הפעולה הסתיימה בהצלחה.
Action wasn't able to submit the following samples, because file type is not supported: NOT_SUPPORTED_FILES. Please refer to the doc portal for a list of supported files. None of the samples were submitted, because file type is not supported. Please refer to the doc portal for a list of supported files. None of the samples in the archive were submitted, because file type is not supported. Please refer to the doc portal for a list of supported files.	הפעולה החזירה שגיאה. כדאי לבדוק את הפורמטים הנתמכים של קבצים לפעולה הזו.
Waiting for results for the following files: PATHS	הודעה אסינכרונית.
Error executing action "Submit File". Reason: ERROR_REASON	הפעולה נכשלה. צריך לבדוק את החיבור לשרת, את פרמטרי הקלט או את פרטי הכניסה.
Error executing action "Submit File". Reason: action ran into a timeout during execution. Pending files: FILES_IN_PROGRESS. Please increase the timeout in IDE.	הפעולה נכשלה. להגדיל את הזמן הקצוב לתפוגה ב-IDE.

תוצאת הסקריפט

בטבלה הבאה מפורטים הערכים של פלט התוצאות של הסקריפט כשמשתמשים בפעולה שליחת קובץ:

שם התוצאה של הסקריפט	ערך
is_success	True או False

שליחת כתובת URL

משתמשים בפעולה Submit URL (שליחת כתובת URL) כדי לשלוח כתובות URL לארגז חול ב-CrowdStrike.

כדי לבצע את הפעולה הזו צריך רישיון ל-Falcon Sandbox. כדי לבדוק אילו פורמטים של קבצים נתמכים בסביבת הארגז, אפשר לעיין בקטע פורמטים נתמכים של קבצים וארכיונים במסמך הזה.

הפעולה הזו לא מופעלת בישויות.

הוספת נתונים לפעולה

הפעולה שליחת כתובת URL דורשת את הפרמטרים הבאים:

פרמטרים
URLs	חובה כתובות ה-URL לשליחה.
Sandbox Environment	אופציונלי סביבת ארגז חול לניתוח. ערך ברירת המחדל הוא Windows 10, 64-bit. הערכים האפשריים הם: Linux Ubuntu 16.04, 64-bit Android (static analysis) Windows 10, 64-bit Windows 7, 64-bit Windows 7, 32-bit
Network Environment	אופציונלי סביבת רשת לניתוח. ערך ברירת המחדל הוא Default. הערכים האפשריים הם: Default TOR Offline Simulated
Check Duplicate	אופציונלי אם בוחרים באפשרות הזו, הפעולה בודקת אם כתובת ה-URL כבר נשלחה בעבר ומחזירה את הדוח שזמין. במהלך האימות, הפעולה לא מתייחסת לפרמטרים Network Environment ו-Sandbox Environment. האפשרות הזו מסומנת כברירת מחדל.

פלט של פעולות

הפעולה Submit URL מספקת את התוצאות הבאות:

סוג הפלט של הפעולה
קיר עם תושבת	לא זמין
קישור לקיר של הפנייה	לא זמין
טבלת בקשות תמיכה	לא זמין
טבלת העשרה	לא זמין
תוצאה בפורמט JSON	לא זמין
הודעות פלט	יש גישה
תוצאת הסקריפט	יש גישה

הודעות פלט

הפעולה Submit URL מספקת את הודעות הפלט הבאות:

הודעת פלט	תיאור ההודעה
Successfully returned details about the following URLs using CrowdStrike: PATHS Action wasn't able to return details about the following URLs using CrowdStrike: PATHS	הפעולה הסתיימה בהצלחה.
Waiting for results for the following URLs: PATHS	הודעה אסינכרונית.
Error executing action "Submit URL". Reason: ERROR_REASON	הפעולה נכשלה. צריך לבדוק את החיבור לשרת, את פרמטרי הקלט או את פרטי הכניסה.
Error executing action "Submit URL". Reason: action ran into a timeout during execution. Pending files: FILES_IN_PROGRESS. Please increase the timeout in IDE.	הפעולה נכשלה. להגדיל את הזמן הקצוב לתפוגה ב-IDE.

תוצאת הסקריפט

בטבלה הבאה מפורטים הערכים של פלט התוצאה של הסקריפט כשמשתמשים בפעולה Submit URL:

שם התוצאה של הסקריפט	ערך
is_success	True או False

עדכון ההתראה

משתמשים בפעולה עדכון התראה כדי לעדכן התראות ב-CrowdStrike Falcon.

הפעולה הזו לא מופעלת בישויות.

הוספת נתונים לפעולה

הפעולה Update Alert (עדכון התראה) דורשת את הפרמטרים הבאים:

פרמטרים
Alert ID	חובה המזהה של ההתראה שרוצים לעדכן.
Status	אופציונלי הסטטוס של ההתראה. הערכים האפשריים הם: Closed In Progress New Reopened
Verdict	אופציונלי ההחלטה לגבי ההתראה. הערכים האפשריים הם: True Positive False Positive
Assign To	אופציונלי השם של האנליסט שאליו רוצים להקצות את ההתראה. אם מספקים את הערך Unassign כערך פרמטר, הפעולה מסירה הקצאה מההתראה. ה-API מקבל כל ערך, גם אם המשתמש שצוין לא קיים במערכת.

פלט של פעולות

הפעולה Update Alert מספקת את הפלטים הבאים:

סוג הפלט של הפעולה	זמינות
קיר עם תושבת	לא זמין
קישור לקיר של הפנייה	לא זמין
טבלת בקשות תמיכה	לא זמין
טבלת העשרה	לא זמין
תוצאה בפורמט JSON	יש גישה
הודעות פלט	יש גישה
תוצאת הסקריפט	יש גישה

תוצאה בפורמט JSON

הדוגמה הבאה מתארת את פלט תוצאת ה-JSON שמתקבל כשמשתמשים בפעולה Update Alert:

{
    "added_privileges": [
        "DomainAdminsRole"
    ],
    "aggregate_id": "aggind:ID",
    "assigned_to_uid": "[e-mail]",
    "cid": "123456789abcdef123456789abcdef12",
    "composite_id": "123456789abcdef123456789abcdef12:ind:ID",
    "confidence": 20,
    "context_timestamp": "2022-11-15T12:58:15.629Z",
    "crawl_edge_ids": {
        "Sensor": [
            "N6KIZ`%V`&d#&#sRaHNV[f3[CA4lr/C_N;.JnbglJpdg8TCCTqnr!9D\\['ALM&eNbPq?kt$#@]+01Ac[&th0-0]E'J8:]mFV?'g5HZ/$B.%BC29_`4U_?%a)_&#k>,G>:=E>%[7^<aLSVj=`UCMcRUH[a9/*^hO_7Ft(js#P<M<(eG3(B=I8rr",
            "XNXnKK.mi:ckQ^2c7AGRMK^'rd:p[_JkD_5ZM$W:d'J8oN:42nj.Ho1-^E5D16b0VALJ`2cDEEJTVdY\\n.-WQ^_B[7$1pH[Glgm@go]-LB%M1,c#2F)nli-Ge#V<=[!c_jh8e3D8E-S0FheDm*BHh-P/s6q!!*'!",
            "N6L*L\">LGfi/.a$IkpaFlWjT.YU#P@Gu8Qe6'0SK=M]ChI,FQXqo=*M(QR+@6c8@m1pIc)Dqs+WLXjbpom5@$T+oqC5RJk!9atPF/<mG'H`V9P0YII;!>C8YL)XS&ATORi>!U.7<Ds\"<dT/Mkp\\V%!U[RS_YC/Wrn[Z`S(^4NU,lV#X3/#pP7K*>g!<<'"
        ]
    },
    "crawl_vertex_ids": {
        "Sensor": [
            "aggind:ID",
            "idpind:ID",
            "ind:ID",
            "uid:ID"
        ]
    },
    "crawled_timestamp": "2022-11-15T13:58:17.251061883Z",
    "created_timestamp": "2022-11-15T12:59:17.239585706Z",
    "description": "A user received new privileges",
    "display_name": "Privilege escalation (user)",
    "end_time": "2022-11-15T12:58:15.629Z",
    "falcon_host_link": "https://falcon.crowdstrike.com/identity-protection/detections/ID",
    "id": "ind:ID",
    "name": "IdpEntityPrivilegeEscalationUser",
    "objective": "Gain Access",
    "pattern_id": 51113,
    "previous_privileges": "0",
    "privileges": "8321",
    "product": "idp",
    "scenario": "privilege_escalation",
    "severity": 2,
    "show_in_ui": true,
    "source_account_domain": "EXAMPLE.EXAMPLE",
    "source_account_name": "ExampleMailbox",
    "source_account_object_sid": "S-1-5-21-3479765008-4256118348-3151044947-3595",
    "start_time": "2022-11-15T12:58:15.629Z",
    "status": "new",
    "tactic": "Privilege Escalation",
    "tactic_id": "TA0004",
    "tags": [
        "red_team"
    ],
    "technique": "Valid Accounts",
    "technique_id": "T1078",
    "timestamp": "2022-11-15T12:58:17.239Z",
    "type": "idp-user-endpoint-app-info",
    "updated_timestamp": "2022-11-23T15:22:20.271100181Z"
}

הודעות פלט

הפעולה התראה על עדכון מספקת את הודעות הפלט הבאות:

הודעת פלט	תיאור ההודעה
Successfully updated alert with ID ALERT_ID in CrowdStrike	הפעולה הסתיימה בהצלחה.
Error executing action "Update Alert". Reason: ERROR_REASON Error executing action "Update Alert". Reason: alert with ID ALERT_ID wasn't found in CrowdStrike. Please check the spelling. Error executing action "Update Alert". Reason: at least one of the "Status" or "Assign To" or "Verdict" parameters should have a value.	הפעולה נכשלה. צריך לבדוק את החיבור לשרת, את פרמטרי הקלט או את פרטי הכניסה.

תוצאת הסקריפט

בטבלה הבאה מפורטים הערכים של פלט התוצאה של הסקריפט כשמשתמשים בפעולה Update Alert:

שם התוצאה של הסקריפט	ערך
is_success	True או False

זיהוי עדכונים – הוצא משימוש

הוצא משימוש: הפעולה הזו הוצאה משימוש. במקום זאת, צריך להשתמש בפעולה Update Alert.

אפשר להשתמש בפעולה Update Detection כדי לעדכן את הזיהויים ב-CrowdStrike Falcon.

הפעולה הזו מופעלת בכל הישויות.

הוספת נתונים לפעולה

הפעולה Update Detection דורשת את הפרמטרים הבאים:

פרמטר	תיאור
Detection ID	חובה. המזהה של הזיהוי שרוצים לעדכן.
Status	חובה. סטטוס זיהוי. ערך ברירת המחדל הוא Select One. הערכים האפשריים הם: Select One new in_progress true_positive false_positive ignored closed
Assign Detection to	זה שינוי אופציונלי. כתובת האימייל של המשתמש ב-CrowdStrike Falcon שהוקצתה לו הגילוי.

פלט של פעולות

הפעולה Update Detection מספקת את הפלט הבא:

סוג הפלט של הפעולה	זמינות
קיר עם תושבת	לא זמין
קישור לקיר של הפנייה	לא זמין
טבלת בקשות תמיכה	לא זמין
טבלת העשרה	לא זמין
תוצאה בפורמט JSON	לא זמין
הודעות פלט	יש גישה
תוצאת הסקריפט	יש גישה

הודעות פלט

הפעולה Update Detection מספקת את הודעות הפלט הבאות:

הודעת פלט	תיאור ההודעה
Successfully updated detection DETECTION_ID in CrowdStrike Falcon.	הפעולה הסתיימה בהצלחה.
Error executing action "Update Detection". Reason: ERROR_REASON	הפעולה נכשלה. צריך לבדוק את החיבור לשרת, את פרמטרי הקלט או את פרטי הכניסה.
Error executing action "Update Detection". Reason: Either "Status" or "Assign Detection To" should have a proper value.	הפעולה נכשלה. צריך לבדוק את הערכים של הפרמטרים Status ו-Assign Detection To.

תוצאת הסקריפט

בטבלה הבאה מפורטים הערכים של פלט התוצאה של הסקריפט כשמשתמשים בפעולה Update Detection:

שם התוצאה של הסקריפט	ערך
is_success	true או false

עדכון של זיהוי הגנה על הזהות

משתמשים בעדכון זיהוי הגנה על הזהות כדי לעדכן זיהוי של הגנה על הזהות ב-CrowdStrike.

כדי לבצע את הפעולה הזו צריך רישיון ל-Identity Protection.

הפעולה הזו לא מופעלת בישויות.

הוספת נתונים לפעולה

הפעולה Update Identity Protection Detection דורשת את הפרמטרים הבאים:

פרמטרים
Detection ID	חובה המזהה של הזיהוי שרוצים לעדכן.
Status	אופציונלי הסטטוס של הזיהוי. ערך ברירת המחדל הוא Select One. הערכים האפשריים הם: Closed Ignored In Progress New Reopened Select One
Assign to	אופציונלי השם של האנליסט שהוקצה. אם מציינים את Unassign, הפעולה מסירה את מקבל ההקצאה מהזיהוי. אם צוין ערך לא תקין, הפעולה לא תשנה את הנמען הנוכחי.

פלט של פעולות

הפעולה Update Identity Protection Detection מספקת את הפלט הבא:

סוג הפלט של הפעולה
קיר עם תושבת	לא זמין
קישור לקיר של הפנייה	לא זמין
טבלת בקשות תמיכה	לא זמין
טבלת העשרה	לא זמין
תוצאה בפורמט JSON	יש גישה
הודעות פלט	יש גישה
תוצאת הסקריפט	יש גישה

תוצאה בפורמט JSON

בדוגמה הבאה מתואר פלט תוצאת ה-JSON שמתקבל כשמשתמשים בפעולה Update Identity Protection Detection:

{
    "added_privileges": [
        "DomainAdminsRole"
    ],
    "aggregate_id": "aggind:ID",
    "assigned_to_uid": "[e-mail]",
    "cid": "123456789abcdef123456789abcdef12",
    "composite_id": "123456789abcdef123456789abcdef12:ind:ID",
    "confidence": 20,
    "context_timestamp": "2022-11-15T12:58:15.629Z",
    "crawl_edge_ids": {
        "Sensor": [
            "N6KIZ`%V`&d#&#sRaHNV[f3[CA4lr/C_N;.JnbglJpdg8TCCTqnr!9D\\['ALM&eNbPq?kt$#@]+01Ac[&th0-0]E'J8:]mFV?'g5HZ/$B.%BC29_`4U_?%a)_&#k>,G>:=E>%[7^<aLSVj=`UCMcRUH[a9/*^hO_7Ft(js#P<M<(eG3(B=I8rr",
            "XNXnKK.mi:ckQ^2c7AGRMK^'rd:p[_JkD_5ZM$W:d'J8oN:42nj.Ho1-^E5D16b0VALJ`2cDEEJTVdY\\n.-WQ^_B[7$1pH[Glgm@go]-LB%M1,c#2F)nli-Ge#V<=[!c_jh8e3D8E-S0FheDm*BHh-P/s6q!!*'!",
            "N6L*L\">LGfi/.a$IkpaFlWjT.YU#P@Gu8Qe6'0SK=M]ChI,FQXqo=*M(QR+@6c8@m1pIc)Dqs+WLXjbpom5@$T+oqC5RJk!9atPF/<mG'H`V9P0YII;!>C8YL)XS&ATORi>!U.7<Ds\"<dT/Mkp\\V%!U[RS_YC/Wrn[Z`S(^4NU,lV#X3/#pP7K*>g!<<'"
        ]
    },
    "crawl_vertex_ids": {
        "Sensor": [
            "aggind:ID",
            "idpind:ID",
            "ind:ID",
            "uid:ID"
        ]
    },
    "crawled_timestamp": "2022-11-15T13:58:17.251061883Z",
    "created_timestamp": "2022-11-15T12:59:17.239585706Z",
    "description": "A user received new privileges",
    "display_name": "Privilege escalation (user)",
    "end_time": "2022-11-15T12:58:15.629Z",
    "falcon_host_link": "https://example.com/",
    "id": "ind:ID",
    "name": "IdpEntityPrivilegeEscalationUser",
    "objective": "Gain Access",
    "pattern_id": 51113,
    "previous_privileges": "0",
    "privileges": "8321",
    "product": "idp",
    "scenario": "privilege_escalation",
    "severity": 2,
    "show_in_ui": true,
    "source_account_domain": "EXAMPLE.COM",
    "source_account_name": "ExampleName",
    "source_account_object_sid": "S-1-5-21-3479765008-4256118348-3151044947-3595",
    "start_time": "2022-11-15T12:58:15.629Z",
    "status": "new",
    "tactic": "Privilege Escalation",
    "tactic_id": "TA0004",
    "tags": [
        "red_team"
    ],
    "technique": "Valid Accounts",
    "technique_id": "T1078",
    "timestamp": "2022-11-15T12:58:17.239Z",
    "type": "idp-user-endpoint-app-info",
    "updated_timestamp": "2022-11-23T15:22:20.271100181Z"
}

הודעות פלט

ב-Case Wall, הפעולה Update Identity Protection Detection מספקת את הודעות הפלט הבאות:

הודעת פלט	תיאור ההודעה
Successfully updated identity protection detection with ID DETECTION_ID in CrowdStrike.	הפעולה הסתיימה בהצלחה.
Error executing action "Update Identity Protection Detection". Reason: ERROR_REASON	הפעולה נכשלה. צריך לבדוק את החיבור לשרת, את פרמטרי הקלט או את פרטי הכניסה.
Error executing action "Update Identity Protection Detection". Reason: identity protection detection with ID DETECTION_ID wasn't found in CrowdStrike. Please check the spelling.	הפעולה נכשלה. מומלץ לבדוק את האיות.
Error executing action "Update Identity Protection Detection". Reason: at least one of the "Status" or "Assign To" parameters should have a value.	הפעולה נכשלה. בודקים את הערכים של הפרמטרים Status ושל Assign to.

תוצאת הסקריפט

בטבלה הבאה מפורטים הערכים של פלט התוצאה של הסקריפט כשמשתמשים בפעולה Update Identity Protection Detection:

שם התוצאה של הסקריפט	ערך
is_success	True או False

עדכון אירוע – הוצא משימוש

הוצאה משימוש: הפעולה הזו הוצאה משימוש. במקום זאת, צריך להשתמש בפעולה עדכון התראה.

משתמשים בפעולה Update Incident (עדכון אירוע) כדי לעדכן אירועים ב-CrowdStrike.

הפעולה הזו לא מופעלת בישויות.

הוספת נתונים לפעולה

הפעולה Update Incident (עדכון אירוע) דורשת את הפרמטרים הבאים:

פרמטר	תיאור
Incident ID	חובה. המזהה של התקרית שרוצים לעדכן.
Status	זה שינוי אופציונלי. הסטטוס של האירוע. הערכים האפשריים הם: Closed In Progress New Reopened
Assign to	זה שינוי אופציונלי. השם או כתובת האימייל של האנליסט שהוקצה. אם מציינים את Unassign, הפעולה מסירה את המקצה מהאירוע. כדי לציין שם, צריך לספק את השם הפרטי ואת שם המשפחה של האנליסט בפורמט הבא: "FIRST_NAME LAST_NAME"

פלט של פעולות

הפעולה Update Incident מספקת את הפלט הבא:

סוג הפלט של הפעולה	זמינות
קיר עם תושבת	לא זמין
קישור לקיר של הפנייה	לא זמין
טבלת בקשות תמיכה	לא זמין
טבלת העשרה	לא זמין
תוצאה בפורמט JSON	יש גישה
הודעות פלט	יש גישה
תוצאת הסקריפט	יש גישה

תוצאה בפורמט JSON

בדוגמה הבאה מתואר פלט של תוצאת JSON שמתקבלת כשמשתמשים בפעולה Update Incident:

 {
"data_type": "Incident",
            "incident_id": "inc:fee8a6ef0cb3412e9a781dcae0287c85:9dfa480ae6214309bff0c8dc2ad8af7c",
            "incident_type": 1,
            "cid": "123456789abcdef123456789abcdef12",
            "host_ids": [
                "fee8a6ef0cb3412e9a781dcae0287c85"
            ],
            "hosts": [
                {
                    "device_id": "fee8a6ef0cb3412e9a781dcae0287c85",
                    "hostname": "DESKTOP-EXAMPLE",
                    "external_ip": "198.51.100.1",
                    "os_version": "Windows 10",
                    "status": "contained"
                }
            ],
            "created": "2023-01-09T12:12:51Z",
            "state": "closed",
            "status": 20,
            "tactics": [
                "Defense Evasion",
                "Privilege Escalation",
                "Credential Access"
            ],
            "fine_score": 21
        }

הודעות פלט

הפעולה Update Incident מספקת את הודעות הפלט הבאות:

הודעת פלט	תיאור ההודעה
Successfully updated incident with ID INCIDENT_ID in CrowdStrike	הפעולה הסתיימה בהצלחה.
Error executing action "Update Incident". Reason: ERROR_REASON	הפעולה נכשלה. בודקים את החיבור, את פרמטרי הקלט או את פרטי הכניסה.
Error executing action "Update Incident". Reason: incident with ID INCIDENT_ID wasn't found in CrowdStrike. Please check the spelling.	הפעולה נכשלה. מומלץ לבדוק את האיות.

תוצאת הסקריפט

בטבלה הבאה מפורטים הערכים של פלט התוצאה של הסקריפט כשמשתמשים בפעולה עדכון אירוע:

שם התוצאה של הסקריפט	ערך
is_success	True או False

עדכון פרטי ה-IOC

משתמשים בפעולה Update IOC Information כדי לעדכן מידע על IOC בהתאמה אישית ב-CrowdStrike Falcon.

הפעולה הזו מתייחסת לישויות של שם המארח כאל IOC של דומיין, ומחלצת את חלק הדומיין מכתובות URL. הפעולה הזו תומכת רק בגיבוב MD5 ו-SHA-256.

הפעולה Update IOC Information (עדכון פרטי IOC) מופעלת בישויות הבאות:

• שם המארח
• כתובת URL
• כתובת IP
• גיבוב (hash)

הוספת נתונים לפעולה

הפעולה Update IOC Information (עדכון פרטי ה-IOC) דורשת את הפרמטרים הבאים:

פרמטרים
Description	אופציונלי תיאור חדש של IOC בהתאמה אישית.
Source	אופציונלי מקור ל-IOC מותאמים אישית.
Expiration days	אופציונלי מספר הימים שנותרו עד שיפוג התוקף. הפרמטר הזה משפיע רק על הישויות URL, כתובת IP ושם מארח.
Detect policy	אופציונלי אם בוחרים באפשרות הזו, הפעולה שולחת התראה על ה-IOC שזוהו. אם לא בוחרים באפשרות הזו, הפעולה לא שולחת התראה. האפשרות הזו מסומנת כברירת מחדל.

פלט של פעולות

הפעולה Update IOC Information (עדכון פרטי IOC) מספקת את הפלט הבא:

סוג הפלט של הפעולה
קיר עם תושבת	לא זמין
קישור לקיר של הפנייה	לא זמין
טבלת בקשות תמיכה	לא זמין
טבלת העשרה	לא זמין
תוצאה בפורמט JSON	יש גישה
הודעות פלט	יש גישה
תוצאת הסקריפט	יש גישה

תוצאה בפורמט JSON

בדוגמה הבאה מתואר פלט תוצאת ה-JSON שמתקבל כשמשתמשים בפעולה Update IOC Information:

{
    "id": "563df6a812f2e7020a17f77ccd809176ca3209cf7c9447ee36c86b4215860856",
    "type": "md5",
    "value": "7e4b0f81078f27fde4aeb87b78b6214c",
    "source": "testSource",
    "action": "detect",
    "severity": "high",
    "description": "test description update",
    "platforms": [
        "example"
    ],
    "tags": [
        "Hashes 17.Apr.18 12:20 (Example)"
    ],
    "expiration": "2022-05-01T12:00:00Z",
    "expired": false,
    "deleted": false,
    "applied_globally": true,
    "from_parent": false,
    "created_on": "2021-04-22T03:54:09.235120463Z",
    "created_by": "[e-mail]",
    "modified_on": "2021-09-16T10:09:07.755804336Z",
    "modified_by": "c16fd3a055eb46eda81e064fa6dd43de"
}

הודעות פלט

ב-Case Wall, הפעולה Update IOC Information מספקת את הודעות הפלט הבאות:

הודעת פלט	תיאור ההודעה
Successfully updated the following entities in CrowdStrike Falcon: ENTITY_ID Action wasn't able to update the following entities in CrowdStrike Falcon: ENTITY_ID	הפעולה הסתיימה בהצלחה.
Error executing action "Update IOC Information". Reason: ERROR_REASON	הפעולה נכשלה. צריך לבדוק את החיבור לשרת, את הפרמטרים או את פרטי הכניסה.

תוצאת הסקריפט

בטבלה הבאה מפורטים הערכים של פלט התוצאות של הסקריפט כשמשתמשים בפעולה Update IOC Information:

שם התוצאה של הסקריפט	ערך
is_success	True או False

העלאת IOC

משתמשים בפעולה Upload IOCs (העלאת אינדיקטורים של פריצות) כדי להוסיף אינדיקטורים מותאמים אישית של פריצות ב-CrowdStrike Falcon.

הפעולה הזו מתייחסת לישויות של שם המארח כאל IOC של דומיין, ומחלצת את החלק של הדומיין מכתובות URL. הפעולה הזו תומכת רק בגיבובים מסוג MD5 ו-SHA-256.

הפעולה העלאת IOC מופעלת בישויות הבאות:

• כתובת IP
• שם המארח
• כתובת URL
• גיבוב (hash)

הוספת נתונים לפעולה

הפעולה Upload IOCs דורשת את הפרמטרים הבאים:

פרמטרים
Platform	חובה רשימה מופרדת בפסיקים של פלטפורמות שקשורות ל-IOC. ערך ברירת המחדל הוא Windows,Linux,Mac. הערכים האפשריים הם: Windows Linux Mac
Severity	חובה רמת החומרה של ה-IOC. ערך ברירת המחדל הוא Medium. הערכים האפשריים הם: Informational Low Medium High Critical
Comment	אופציונלי תגובה שמכילה הקשר נוסף שקשור ל-IOC.
Host Group Name	חובה השם של קבוצת המארחים.
Action	אופציונלי פעולה לגבי IOC שהועלו. ערך ברירת המחדל הוא Detect. הערכים האפשריים הם: Block Detect הערך Block רלוונטי רק לגיבוב MD5. הפעולה תמיד מחילה את מדיניות Detect על כל שאר סוגי ה-IOC.
Days To Expire	אופציונלי מספר הימים לפני שפג התוקף של ה-IOC.

פלט של פעולות

הפעולה העלאת IOCs מספקת את הפלטים הבאים:

סוג הפלט של הפעולה
קיר עם תושבת	לא זמין
קישור לקיר של הפנייה	לא זמין
טבלת בקשות תמיכה	לא זמין
טבלת העשרה	לא זמין
תוצאה בפורמט JSON	לא זמין
הודעות פלט	יש גישה
תוצאת הסקריפט	יש גישה

הודעות פלט

הפעולה Upload IOCs (העלאת אינדיקטורים של פריצות) מספקת את הודעות הפלט הבאות:

הודעת פלט	תיאור ההודעה
Successfully added the following custom IOCs in CrowdStrike Falcon: ENTITY_ID The following custom IOCs were already a part of CrowdStrike Falcon instance: ENTITY_ID Action wasn't able to add the following custom IOCs in CrowdStrike Falcon: ENTITY_ID	הפעולה הסתיימה בהצלחה.
Error executing action "Upload IOCs". Reason: ERROR_REASON	הפעולה נכשלה. צריך לבדוק את החיבור לשרת, את פרמטרי הקלט או את פרטי הכניסה.
Error executing action "Upload IOCs". Reason: Host group "HOST_GROUP_NAME" was not found. Please check the spelling.	הפעולה נכשלה. בודקים את ערך הפרמטר Host Group Name.
Error executing action "Upload IOCs". Invalid value provided for the parameter "Platform". Possible values: Windows, Linux, Mac.	הפעולה נכשלה. בודקים את ערך הפרמטר Platform.

תוצאת הסקריפט

בטבלה הבאה מפורטים הערכים של פלט התוצאה של הסקריפט כשמשתמשים בפעולה Upload IOCs:

שם התוצאה של הסקריפט	ערך
is_success	True או False

מחברים

מוודאים שהגדרתם את ההרשאות המינימליות לכל מחבר CrowdStrike. פרטים נוספים מופיעים בקטע הרשאות של מחברים במסמך הזה.

הוראות להגדרת מחבר ב-Google SecOps מופיעות במאמר הוספת נתונים (מחברים).

אירועים של CrowdStrike

אירועים הם פריטי מידע שנאספים על ידי חיישני Falcon במארחים שלכם. יש ארבעה סוגים של אירועים ב-CrowdStrike:

סוגי אירועים ב-CrowdStrike
אירועי ביקורת של פעילות אימות	אירועים שנוצרים בכל פעם שמבקשים הרשאה, מאשרים אותה או משלימים אותה בנקודות קצה.
אירועים של סיכום זיהוי	אירועים שנוצרים כשמזוהים איומים בנקודות קצה.
אירועים של סיום סשן תגובה מרחוק	אירועים שנוצרו מסשנים מרוחקים בנקודות קצה.
אירועי ביקורת של פעילות משתמשים	אירועים שנוצרו כדי לעקוב אחרי פעילויות שמבצעים משתמשים פעילים בנקודות קצה.

המחברים קולטים אירועים לתוך Google SecOps כדי ליצור התראות ולהוסיף נתוני אירועים לבקשות תמיכה. אתם יכולים לבחור אילו אירועים להעביר אל Google SecOps: כל סוגי האירועים או רק חלק מהם.

הוצא משימוש: מחבר CrowdStrike Detections

המחבר הזה לא מקבל יותר עדכונים או שינויים בקוד.

במקום זאת, צריך להשתמש במחבר CrowdStrike – התראות.

משתמשים במחבר CrowdStrike Detections כדי לשלוף זיהויים מ-CrowdStrike.

הרשימה הדינמית פועלת עם מסננים שנתמכים על ידי CrowdStrike API.

איך עובדים עם הרשימה הדינמית

כשעובדים עם הרשימה הדינמית, חשוב לפעול לפי ההמלצות הבאות:

• משתמשים בשפת ה-FQL של CrowdStrike כדי לשנות את המסנן שנשלח על ידי המחבר.
• צריך לספק רשומה נפרדת ברשימה הדינמית לכל מסנן.
• כדי להטמיע את כל הזיהויים שהוקצו לאנליסט ספציפי, צריך לוודא שהאנליסט מספק את הרשומה הדינמית הבאה ברשימה:

  assigned_to_name:'ANALYST_USER_NAME'

הרשימה הדינמית תומכת בפרמטרים הבאים:

פרמטרים נתמכים	תיאור
q	חיפוש טקסט מלא בכל שדות המטא-נתונים.
date_updated	תאריך העדכון האחרון של הזיהוי.
assigned_to_name	שם המשתמש של מי שהוקצתה לו המשימה לטפל בזיהוי, בפורמט שקריא לבני אדם.
max_confidence	אם לזיהוי משויכת יותר מהתנהגות אחת עם רמות מהימנות שונות, השדה הזה יציג את ערך המהימנות הכי גבוה מבין כל ההתנהגויות. ערך הפרמטר יכול להיות כל מספר שלם מ-1 עד 100.
detection_id	מזהה הזיהוי שאפשר להשתמש בו בשילוב עם ממשקי API אחרים, כמו Detection Details API או Resolve Detection API.
max_severity	אם לזיהוי מסוים משויכת יותר מהתנהגות אחת עם רמות חומרה שונות, בשדה הזה מופיע ערך החומרה הכי גבוה מבין כל ההתנהגויות. ערך הפרמטר יכול להיות כל מספר שלם מ-1 עד 100.
max_severity_displayname	השם שמשמש בממשק המשתמש כדי לקבוע את חומרת הזיהוי. הערכים האפשריים הם: Critical High Medium Low
seconds_to_triaged	הזמן שנדרש לזיהוי כדי לשנות את הסטטוס שלו מ-new ל-in_progress.
seconds_to_resolved	הזמן שנדרש כדי שסטטוס של זיהוי ישתנה מnew לכל אחד מהסטטוסים של טיפול (true_positive, ‏false_positive, ‏ignored ו-closed).
status	הסטטוס הנוכחי של הזיהוי. הערכים האפשריים הם: new in_progress true_positive false_positive ignored
adversary_ids	לגורם העוין שעליו מתבצע מעקב על ידי CrowdStrike Falcon Intelligence יש מזהה שמשויך להתנהגויות או לאינדיקטורים המיוחסים בגילוי. המזהים האלה נמצאים במטא-נתונים של הזיהוי שאפשר לגשת אליהם באמצעות Detection Details API.
cid	מספר הלקוח (CID) של הארגון.

כניסות קלט של מחברים

מחבר CrowdStrike Detections דורש את הפרמטרים הבאים:

פרמטר	תיאור
Product Field Name	חובה. שם שדה המקור שמכיל את השם Product Field. ערך ברירת המחדל הוא Product Name.
Event Field Name	חובה. שם שדה המקור שמכיל את השם Event Field. ערך ברירת המחדל הוא behaviors_technique.
Environment Field Name	זה שינוי אופציונלי. שם השדה שבו מאוחסן שם הסביבה. אם השדה environment לא נמצא, המערכת משתמשת בסביבת ברירת המחדל. ערך ברירת המחדל הוא "".
Environment Regex Pattern	זה שינוי אופציונלי. תבנית של ביטוי רגולרי להפעלה על הערך שנמצא בשדה Environment Field Name. משתמשים בערך ברירת המחדל .* כדי לאחזר את הערך הנדרש Environment Field Name.
Script Timeout (Seconds)	חובה. מגבלת הזמן הקצוב בשניות לתהליך Python שמריץ את הסקריפט הנוכחי. ערך ברירת המחדל הוא 180.
API Root	חובה. שורש ה-API של מופע CrowdStrike. ערך ברירת המחדל הוא https://api.crowdstrike.com.
Client ID	חובה. מזהה הלקוח של חשבון CrowdStrike.
Client Secret	חובה. סוד הלקוח בחשבון CrowdStrike.
Lowest Severity Score To Fetch	זה שינוי אופציונלי. ציון החומרה הנמוך ביותר של הזיהויים שיש לאחזר (מקסימום 100). ערך ברירת המחדל הוא 50.
Lowest Confidence Score To Fetch	זה שינוי אופציונלי. ציון הסמך הנמוך ביותר של הזיהויים לאחזור (מקסימום 100). ערך ברירת המחדל הוא 0.
Max Hours Backwards	זה שינוי אופציונלי. מספר השעות שמהן יאוחזרו זיהויים. ערך ברירת המחדל הוא 1.
Max Detections To Fetch	זה שינוי אופציונלי. מספר הזיהויים לעיבוד באיטרציה אחת של המחבר. ערך ברירת המחדל הוא 10.
Disable Overflow	זה שינוי אופציונלי. אם האפשרות הזו נבחרת, המחבר מתעלם ממנגנון הגלישה.
Verify SSL	חובה. אם האפשרות הזו נבחרה, האינטגרציה מאמתת את אישור ה-SSL.
Proxy Server Address	זה שינוי אופציונלי. כתובת של שרת ה-Proxy שבו רוצים להשתמש.
Proxy Username	זה שינוי אופציונלי. שם משתמש לשרת proxy לצורך אימות.
Proxy Password	זה שינוי אופציונלי. סיסמת proxy לאימות.
Case Name Template	זה שינוי אופציונלי. פורמט placeholder: [FIELD_NAME ].
Alert Name Template	זה שינוי אופציונלי. פורמט placeholder: [FIELD_NAME ].
Padding Period	זה שינוי אופציונלי. מספר השעות שמשמשות לריווח (מקסימום 6).
Include Hidden Alerts	זה שינוי אופציונלי. אם ההגדרה מופעלת, המערכת מאחזרת התראות שמסומנות בתווית 'מוסתרות'.
Fallback Severity	זה שינוי אופציונלי. הערך הזה מוחל אם חסר ערך חומרה. ברירת מחדל: לצורך מידע.
Customer ID	זה שינוי אופציונלי. מספר הלקוח בסביבות מרובות דיירים (MSSP).

כללים של Connectors

המחבר תומך בשרתי proxy.

אירועים של מחברים

דוגמה לאירוע של מחבר:

{
    "cid": "123456789abcdef123456789abcdef12",
    "created_timestamp": "2021-01-12T16:19:08.651448357Z",
    "detection_id": "ldt:74089e36ac3a4271ab14abc076ed18eb:4317290676",
    "device": {
        "device_id": "74089e36ac3a4271ab14abc076ed18eb",
        "cid": "123456789abcdef123456789abcdef12",
        "agent_load_flags": "0",
        "agent_local_time": "2021-01-12T16:07:16.205Z",
        "agent_version": "6.13.12708.0",
        "bios_manufacturer": "Example LTD",
        "bios_version": "6.00",
        "config_id_base": "65994753",
        "config_id_build": "12708",
        "config_id_platform": "3",
        "external_ip": "203.0.113.1",
        "hostname": "EXAMPLE-01",
        "first_seen": "2021-01-12T16:01:43Z",
        "last_seen": "2021-01-12T16:17:21Z",
        "local_ip": "192.0.2.1",
        "mac_address": "00-50-56-a2-5d-a3",
        "major_version": "10",
        "minor_version": "0",
        "os_version": "Windows 10",
        "platform_id": "0",
        "platform_name": "Windows",
        "product_type": "1",
        "product_type_desc": "Workstation",
        "status": "normal",
        "system_manufacturer": "Example, Inc.",
        "system_product_name": "Example ",
        "modified_timestamp": "2021-01-12T16:17:29Z",
    "behaviors": 
        {
            "device_id": "74089e36ac3a4271ab14abc076ed18eb",
            "timestamp": "2021-01-12T16:17:19Z",
            "template_instance_id": "10",
            "behavior_id": "10146",
            "filename": "reg.exe",
            "filepath": "\\Device\\HarddiskVolume2\\Windows\\System32\\reg.exe",
            "alleged_filetype": "exe",
            "cmdline": "REG  ADD HKCU\\Environment /f /v UserInitMprLogonScript /t REG_MULTI_SZ /d \"C:\\TMP\\mim.exe sekurlsa::LogonPasswords > C:\\TMP\\o.txt\"",
            "scenario": "credential_theft",
            "objective": "Gain Access",
            "tactic": "Credential Access",
            "tactic_id": "TA0006",
            "technique": "Credential Dumping",
            "technique_id": "T1003",
            "display_name": "Example-Name",
            "severity": 70,
            "confidence": 80,
            "ioc_type": "hash_sha256",
            "ioc_value": "b211c25bf0b10a82b47e9d8da12155aad95cff14cebda7c4acb35a94b433ddfb",
            "ioc_source": "library_load",
            "ioc_description": "\\Device\\HarddiskVolume2\\Windows\\System32\\reg.exe",
            "user_name": "Admin",
            "user_id": "example-id",
            "control_graph_id": "ctg:74089e36ac3a4271ab14abc076ed18eb:4317290676",
            "triggering_process_graph_id": "pid:74089e36ac3a4271ab14abc076ed18eb:4746437404",
            "sha256": "b211c25bf0b10a82b47e9d8da12155aad95cff14cebda7c4acb35a94b433ddfb",
            "md5": "05cf3ce225b05b669e3118092f4c8eab",
            "parent_details": {
                "parent_sha256": "d0ceb18272966ab62b8edff100e9b4a6a3cb5dc0f2a32b2b18721fea2d9c09a5",
                "parent_md5": "9d59442313565c2e0860b88bf32b2277",
                "parent_cmdline": "C:\\Windows\\system32\\cmd.exe /c \"\"C:\\Users\\Admin\\Desktop\\APTSimulator-master\\APTSimulator-master\\APTSimulator.bat\" \"",
                "parent_process_graph_id": "pid:74089e36ac3a4271ab14abc076ed18eb:4520199381"
            },
            "pattern_disposition": 2048,
            "pattern_disposition_details": {
                "indicator": false,
                "detect": false,
                "inddet_mask": false,
                "sensor_only": false,
                "rooting": false,
                "kill_process": false,
                "kill_subprocess": false,
                "quarantine_machine": false,
                "quarantine_file": false,
                "policy_disabled": false,
                "kill_parent": false,
                "operation_blocked": false,
                "process_blocked": true,
                "registry_operation_blocked": false,
                "critical_process_disabled": false,
                "bootup_safeguard_enabled": false,
                "fs_operation_blocked": false,
                "handle_operation_downgraded": false
            }
        }
    },
    "email_sent": false,
    "first_behavior": "2021-01-12T16:17:19Z",
    "last_behavior": "2021-01-12T16:17:19Z",
    "max_confidence": 80,
    "max_severity": 70,
    "max_severity_displayname": "High",
    "show_in_ui": true,
    "status": "new",
    "hostinfo": {
        "domain": ""
    },
    "seconds_to_triaged": 0,
    "seconds_to_resolved": 0,
}
    

מחבר CrowdStrike Falcon Streaming Events

מחבר האירועים של CrowdStrike Falcon Streaming מתאים לתרחישי השימוש הבאים:

1. הטמעת נתונים של אירועי זיהוי.

   מערכת CrowdStrike Falcon מזהה ניסיון להפעיל את הקובץ SophosCleanM.exe הזדוני בנקודת קצה. מערכת CrowdStrike מפסיקה את הפעולה ויוצרת התראה שמכילה גיבובים של קבצים בנתוני האירוע.

   אנליסט שמתעניין במוניטין של קובץ מריץ גיבובים (hash) שגילה ב-VirusTotal ומגלה שגיבוב הוא זדוני. בשלב הבא, פעולת ה-EDR של McAfee מכניסה את הקובץ הזדוני להסגר.

2. העברת נתונים של אירועי ביקורת של פעילות משתמשים.

   משתמש CrowdStrike, דני, מעדכן את סטטוס הזיהוי מnew לfalse-positive. פעולת המשתמש הזו יוצרת אירוע בשם detection_update.

   האנליסט מבצע שאילתת המשך כדי להבין למה דני סימן את הפעולה כחיובי כוזב, ובודק את האירוע שהוטמע שמכיל את המידע על הזהות של דני.

   בשלב הבא, האנליסט מפעיל את הפעולה Enrich Entities (העשרת ישויות) ב-Active Directory כדי לקבל פרטים נוספים על האירוע ולפשט את המעקב אחרי דני.

3. הטמעת נתונים של אירועי ביקורת של פעילות אימות.

   אירוע מציין שדני יצר חשבון משתמש חדש והעניק לו תפקידי משתמש.

   כדי לחקור את האירוע ולהבין למה המשתמש נוצר, האנליסט משתמש במזהה המשתמש של דני כדי להריץ את הפעולה Enrich Entities של Active Directory ולגלות את תפקיד המשתמש של דני, כדי לוודא שיש לו הרשאה להוסיף משתמשים חדשים.

4. הטמעת נתונים של אירועי סיום תגובה מרחוק.

   אירוע מרוחק מציין שלדני הייתה גישה מרחוק למארח ספציפי והוא ביצע פקודות כמשתמש עם הרשאות שורש כדי לגשת לספרייה של שרת אינטרנט.

   כדי לקבל מידע נוסף על דני ועל המארח המעורבים, האנליסט מריץ את הפעולה Active Directory כדי להעשיר את המידע על המשתמש ועל המארח. על סמך המידע שמתקבל, יכול להיות שהאנליסט יחליט להשעות את דני עד שיתברר מה המטרה של החיבור המרוחק.

כניסות קלט של מחברים

מחבר הזרמת האירועים של CrowdStrike Falcon דורש את הפרמטרים הבאים:

פרמטרים
Product Field Name	חובה שם שדה המקור שמכיל את השם Product Field. ערך ברירת המחדל הוא device_product.
Event Field Name	חובה שם שדה המקור שמכיל את השם Event Field. ערך ברירת המחדל הוא Name.
Environment Field Name	אופציונלי שם השדה שבו מאוחסן שם הסביבה. אם השדה environment לא נמצא, המערכת משתמשת בסביבת ברירת המחדל. ערך ברירת המחדל הוא "".
Environment Regex Pattern	אופציונלי תבנית של ביטוי רגולרי להפעלה על הערך שנמצא בשדה Environment Field Name. הפרמטר הזה מאפשר לכם לשנות את השדה environment באמצעות הלוגיקה של הביטוי הרגולרי. משתמשים בערך ברירת המחדל .* כדי לאחזר את הערך הנדרש Environment Field Name. אם תבנית הביטוי הרגולרי היא null או ריקה, או אם ערך הסביבה הוא null, התוצאה הסופית של הסביבה היא סביבת ברירת המחדל.
Alert Name Template	אופציונלי אם מספקים ערך, המחבר משתמש בו בשביל שם ההתראה ב-Google SecOps. אפשר להשתמש במחזיקי מקום בפורמט הבא: [FIELD_NAME], למשל דיוג (פישינג) – [event_mailbox]. הערה: אם לא תציינו ערך או תספקו תבנית לא תקינה, המחבר ישתמש בשם ברירת המחדל של ההתראה. המחבר משתמש באירוע הראשון של Google SecOps עבור placeholders. הפרמטר הזה מאפשר להשתמש רק במפתחות עם ערך מחרוזת.
API Root	חובה שורש ה-API של מופע CrowdStrike. ערך ברירת המחדל הוא https://api.crowdstrike.com.
Client ID	חובה מזהה הלקוח של חשבון CrowdStrike.
Client Secret	חובה סוד הלקוח של חשבון CrowdStrike.
Event types	אופציונלי רשימה מופרדת בפסיקים של סוגי אירועים. דוגמאות לסוגי האירועים: DetectionSummaryEvent IncidentSummaryEvent AuthActivityAuditEvent UserActivityAuditEvent RemoteResponseSessionStartEvent RemoteResponseSessionEndEvent
Max Days Backwards	אופציונלי מספר הימים שלפני היום שממנו יאוחזרו נתונים על זיהויים. ערך ברירת המחדל הוא 3.
Max Events Per Cycle	אופציונלי מספר האירועים לעיבוד באיטרציה אחת של המחבר. ערך ברירת המחדל הוא 10.
Min Severity	אופציונלי אירועים להעברה על סמך חומרת האירוע (אירועי זיהוי). הערך נע בין 0 ל-5. אם נבלעים סוגים אחרים של אירועים מלבד אירועי זיהוי, רמת החומרה שלהם מוגדרת כ--1 והמסנן הזה לא חל עליהם.
Disable Overflow	אופציונלי אם בוחרים באפשרות הזו, המחבר מתעלם ממנגנון הגלישה. האפשרות הזו לא מסומנת כברירת מחדל.
Verify SSL	חובה אם בוחרים באפשרות הזו, האינטגרציה מוודאת שאישור ה-SSL של החיבור לשרת CrowdStrike תקף. האפשרות הזו לא מסומנת כברירת מחדל.
Script Timeout (Seconds)	חובה מגבלת הזמן הקצוב לתהליך Python שמריץ את הסקריפט הנוכחי. ערך ברירת המחדל הוא 60 שניות.
Proxy Server Address	אופציונלי כתובת של שרת ה-Proxy שבו רוצים להשתמש.
Proxy Username	אופציונלי שם משתמש לשרת proxy לצורך אימות.
Proxy Password	אופציונלי סיסמת proxy לאימות.
Rule Generator Template	אופציונלי אם מספקים ערך, המחבר משתמש בו כדי ליצור כללים ב-Google SecOps. אפשר להשתמש במחזיקי מקום בפורמט הבא: [FIELD_NAME], למשל דיוג (פישינג) – [event_mailbox]. אם לא מספקים ערך או מספקים תבנית לא תקינה, המחבר משתמש במחולל הכללים שמוגדר כברירת מחדל. המחבר משתמש באירוע הראשון של Google SecOps עבור placeholders. הפרמטר הזה מאפשר להשתמש רק במפתחות עם ערך מחרוזת.
Customer ID	אופציונלי מספר הלקוח של הדייר שבו יופעל המחבר. לשימוש בסביבות Multi-tenant ‏ (MSSP).

כללים של Connectors

המחבר הזה תומך בשרתי proxy.

המחבר הזה לא תומך ברשימה דינמית.

מחבר CrowdStrike Identity Protection Detections

משתמשים במחבר הזיהויים של CrowdStrike Identity Protection כדי לשלוף את הזיהויים של Identity Protection מ-CrowdStrike. הרשימה הדינמית פועלת עם הפרמטר display_name.

כדי להשתמש במחבר הזה, צריך רישיון ל-Identity Protection.

כניסות קלט של מחברים

מחבר הזיהויים של CrowdStrike Identity Protection דורש את הפרמטרים הבאים:

פרמטרים
Product Field Name	חובה שם שדה המקור שמכיל את השם Product Field. ערך ברירת המחדל הוא Product Name.
Event Field Name	חובה שם שדה המקור שמכיל את השם Event Field. ערך ברירת המחדל הוא behaviors_technique.
Environment Field Name	אופציונלי שם השדה שבו מאוחסן שם הסביבה. אם השדה environment לא נמצא, המערכת משתמשת בסביבת ברירת המחדל. ערך ברירת המחדל הוא "".
Environment Regex Pattern	אופציונלי תבנית של ביטוי רגולרי להפעלה על הערך שנמצא בשדה Environment Field Name. הפרמטר הזה מאפשר לכם לשנות את השדה environment באמצעות הלוגיקה של הביטוי הרגולרי. משתמשים בערך ברירת המחדל .* כדי לאחזר את הערך הנדרש Environment Field Name. אם תבנית הביטוי הרגולרי היא null או ריקה, או אם ערך הסביבה הוא null, התוצאה הסופית של הסביבה היא סביבת ברירת המחדל.
Script Timeout (Seconds)	חובה מגבלת הזמן הקצוב בשניות לתהליך Python שמריץ את הסקריפט הנוכחי. ערך ברירת המחדל הוא 180.
API Root	חובה שורש ה-API של מופע CrowdStrike. ערך ברירת המחדל הוא https://api.crowdstrike.com.
Client ID	חובה מזהה הלקוח של חשבון CrowdStrike.
Client Secret	חובה סוד הלקוח של חשבון CrowdStrike.
Lowest Severity Score To Fetch	אופציונלי ציון החומרה הנמוך ביותר של הזיהויים לאחזור. אם לא מציינים ערך, המחבר לא מחיל את המסנן הזה. הערך המקסימלי הוא 100. ערך ברירת המחדל הוא 50. המחבר תומך גם בערכים הבאים של הפרמטר הזה: Low Medium High Critical
Lowest Confidence Score To Fetch	אופציונלי ציון המהימנות הנמוך ביותר של הזיהויים לאחזור. אם לא מציינים ערך, המחבר לא מחיל את המסנן הזה. הערך המקסימלי הוא 100. ערך ברירת המחדל הוא 0.
Max Hours Backwards	אופציונלי מספר השעות שחלפו מהרגע הנוכחי שמהן יאוחזרו נתונים על זיהויים. ערך ברירת המחדל הוא 1.
Max Detections To Fetch	אופציונלי מספר הזיהויים לעיבוד באיטרציה אחת של המחבר. ערך ברירת המחדל הוא 10.
Case Name Template	אופציונלי אם מספקים את המפתח, המחבר מוסיף מפתח חדש בשם custom_case_name לאירוע Google SecOps. אפשר להשתמש במחזיקי מקום בפורמט הבא: [FIELD_NAME], למשל Phishing - [event_mailbox]. הערה: המחבר משתמש באירוע הראשון של Google SecOps בשביל placeholders. הפרמטר הזה מאפשר להשתמש רק במפתחות עם ערך מחרוזת.
Alert Name Template	אופציונלי אם מספקים ערך, המחבר משתמש בו בשביל שם ההתראה ב-Google SecOps. אפשר להשתמש במחזיקי מקום בפורמט הבא: [FIELD_NAME], למשל דיוג (פישינג) – [event_mailbox]. הערה: אם לא תציינו ערך או תספקו תבנית לא תקינה, המחבר ישתמש בשם ברירת המחדל של ההתראה. המחבר משתמש באירוע הראשון של Google SecOps עבור placeholders. הפרמטר הזה מאפשר להשתמש רק במפתחות עם ערך מחרוזת.
Disable Overflow	אופציונלי אם בוחרים באפשרות הזו, המחבר מתעלם ממנגנון הגלישה. האפשרות הזו לא מסומנת כברירת מחדל.
Verify SSL	חובה אם בוחרים באפשרות הזו, האינטגרציה מוודאת שאישור ה-SSL של החיבור לשרת CrowdStrike תקף. האפשרות הזו לא מסומנת כברירת מחדל.
Proxy Server Address	אופציונלי כתובת של שרת ה-Proxy שבו רוצים להשתמש.
Proxy Username	אופציונלי שם משתמש לשרת proxy לצורך אימות.
Proxy Password	אופציונלי סיסמת proxy לאימות.
Customer ID	אופציונלי מספר הלקוח של הדייר שבו יופעל המחבר. לשימוש בסביבות Multi-tenant ‏ (MSSP).

כללים של Connectors

המחבר הזה תומך בשרתי proxy.

אירוע של מתקן טעינה

דוגמה לאירוע של מחבר:

{
  "added_privileges": [
      "DomainAdminsRole"
  ],
  "aggregate_id": "aggind:123456789abcdef123456789abcdef12:C34185DF-C3BA-4F69-93EB-1B61A213AF86",
  "cid": "123456789abcdef123456789abcdef12",
  "composite_id": "123456789abcdef123456789abcdef12:ind:123456789abcdef123456789abcdef12:C34185DF-C3BA-4F69-93EB-1B61A213AF86",
  "confidence": 20,
  "context_timestamp": "2022-11-15T12:58:13.155Z",
  "crawl_edge_ids": {
      "Sensor": [
          "N6Fq4_]TKjckDDWI$fKO`l>_^KFO4!,Z/&o<H7_)4[Ip*h@KUG8%Xn3Fm3@]<gF_c,c1eeW\\O-J9l;HhVHA\"DH#\\pO1M#>X^dZWWg%V:`[+@g9@3h\"Q\"7r8&lj-o[K@24f;Xl.rlhgWC8%j5\\O7p/G7iQ*ST&12];a_!REjkIUL.R,/U^?]I!!*'!",
          "XNXPaK.m]6i\"HhDPGX=XlMl2?8Mr#H;,A,=7aF9N)>5*/Hc!D_>MmDTO\\t1>Oi6ENO`QkWK=@M9q?[I+pm^)mj5=T_EJ\"4cK99U+!/ERSdo(X^?.Z>^]kq!ECXH$T.sfrJpT:TE+(k]<'Hh]..+*N%h_5<Z,63,n!!*'!",
          "N6L$J`'>\":d#'I2pLF4-ZP?S-Qu#75O,>ZD+B,m[\"eGe@(]>?Nqsh8T3*q=L%=`KI_C[Wmj3?D!=:`(K)7/2g&8cCuB`r9e\"jTp/QqK7.GocpPSq4\\-#t1Q*%5C0%S1$f>KT&a81dJ!Up@EZY*;ssFlh8$cID*qr1!)S<!m@A@s%JrG9Go-f^B\"<7s8N"
      ]
  },
  "crawl_vertex_ids": {
      "Sensor": [
          "uid:123456789abcdef123456789abcdef12:S-1-5-21-3479765008-4256118348-3151044947-3195",
          "ind:123456789abcdef123456789abcdef12:C34185DF-C3BA-4F69-93EB-1B61A213AF86",
          "aggind:123456789abcdef123456789abcdef12:C34185DF-C3BA-4F69-93EB-1B61A213AF86",
          "idpind:123456789abcdef123456789abcdef12:715224EE-7AD6-33A1-ADA9-62C4608DA546"
      ]
  },
  "crawled_timestamp": "2022-11-15T14:33:50.641703679Z",
  "created_timestamp": "2022-11-15T12:59:15.444106807Z",
  "description": "A user received new privileges",
  "display_name": "Privilege escalation (user)",
  "end_time": "2022-11-15T12:58:13.155Z",
  "falcon_host_link": "https://example.com/identity-protection/detections/",
  "id": "ind:123456789abcdef123456789abcdef12:C34185DF-C3BA-4F69-93EB-1B61A213AF86",
  "name": "IdpEntityPrivilegeEscalationUser",
  "objective": "Gain Access",
  "pattern_id": 51113,
  "previous_privileges": "0",
  "privileges": "8321",
  "product": "idp",
  "scenario": "privilege_escalation",
  "severity": 2,
  "show_in_ui": true,
  "source_account_domain": "EXAMPLE.COM",
  "source_account_name": "ExampleName",
  "source_account_object_sid": "S-1-5-21-3479765008-4256118348-3151044947-3195",
  "start_time": "2022-11-15T12:58:13.155Z",
  "status": "new",
  "tactic": "Privilege Escalation",
  "tactic_id": "TA0004",
  "technique": "Valid Accounts",
  "technique_id": "T1078",
  "timestamp": "2022-11-15T12:58:15.397Z",
  "type": "idp-user-endpoint-app-info",
  "updated_timestamp": "2022-11-15T14:33:50.635238527Z"
}

הוצא משימוש: מחבר האירועים של CrowdStrike

הוצא משימוש: המחבר הזה הוצא משימוש. במקום זאת, אפשר להשתמש במחבר ההתראות של CrowdStrike כדי לשלוף נתונים על אירועים והתנהגויות.

אפשר להשתמש במחבר האירועים של CrowdStrike כדי לשלוף אירועים והתנהגויות קשורות מ-CrowdStrike.

הרשימה הדינמית פועלת עם הפרמטר incident_type.

פרמטרים של מחברים

מחבר האירועים של CrowdStrike דורש את הפרמטרים הבאים:

פרמטר	תיאור
Product Field Name	חובה. שם שדה המקור שמכיל את השם Product Field. ערך ברירת המחדל הוא Product Name.
Event Field Name	חובה. שם שדה המקור שמכיל את השם Event Field. ערך ברירת המחדל הוא data_type.
Environment Field Name	זה שינוי אופציונלי. שם השדה שבו מאוחסן שם הסביבה. אם לא נמצאה סביבה, המערכת משתמשת בסביבת ברירת המחדל. ערך ברירת המחדל הוא "".
Environment Regex Pattern	זה שינוי אופציונלי. תבנית של ביטוי רגולרי לשינוי הערך של שדה הסביבה. כדי לאחזר את הערך הגולמי, משתמשים בערך ברירת המחדל .*.
Script Timeout (Seconds)	חובה. מגבלת הזמן הקצוב לתהליך Python. ערך ברירת המחדל הוא 180.
API Root	חובה. שורש ה-API של מופע CrowdStrike. ערך ברירת המחדל הוא https://api.crowdstrike.com.
Client ID	חובה. מזהה הלקוח של חשבון CrowdStrike.
Client Secret	חובה. סוד הלקוח של חשבון CrowdStrike.
Lowest Severity Score To Fetch	זה שינוי אופציונלי. ציון החומרה הנמוך ביותר של האירועים שיאוחזרו. תמיכה בערכים Low,‏ Medium,‏ High,‏ Critical או בערכים מספריים עד 100.
Max Hours Backwards	זה שינוי אופציונלי. חלון מבט לאחור לאחזור בפורמט של שעות. ערך ברירת המחדל הוא 1.
Max Incidents To Fetch	זה שינוי אופציונלי. מספר האירועים בכל איטרציה. המספר המקסימלי הוא 100. ערך ברירת המחדל הוא 10.
Use dynamic list as a blocklist	חובה. אם האפשרות הזו נבחרה, הרשימה הדינמית פועלת כרשימת חסימה.
Disable Overflow	זה שינוי אופציונלי. אם האפשרות הזו מסומנת, המערכת מתעלמת ממנגנון הגלישה.
Verify SSL	חובה. האימות של אישור ה-SSL לחיבור.
Proxy Parameters	זה שינוי אופציונלי. כולל Proxy Server Address,‏ Proxy Username ו-Proxy Password.
Customer ID	זה שינוי אופציונלי. מזהה הדייר בסביבות Multi-tenant ‏ (MSSP).

כללים של Connectors

המחבר הזה תומך בשרתי proxy.

אירועים של מחברים

המחבר תומך בשני סוגי אירועים: מבוססי-תקריות ומבוססי-התנהגות.

דוגמה: אירוע שמבוסס על אירוע

 {
    "data_type": "Incident",
    "incident_id": "inc:fee8a6ef0cb3412e9a781dcae0287c85:9dfa480ae6214309bff0c8dc2ad8af7c",
    "incident_type": 1,
    "cid": "123456789abcdef123456789abcdef12",
    "state": "closed",
    "tactics": ["Defense Evasion", "Privilege Escalation"],
    "fine_score": 21
 }

דוגמה: אירוע שמבוסס על התנהגות

 {
    "behavior_id": "ind:fee8a6ef0cb3412e9a781dcae0287c85:1298143147841-372-840208",
    "incident_id": "inc:fee8a6ef0cb3412e9a781dcae0287c85:9dfa480ae6214309bff0c8dc2ad8af7c",
    "timestamp": "2023-01-09T11:24:25Z",
    "tactic": "Privilege Escalation",
    "technique": "Bypass User Account Control"
 }

‫CrowdStrike – מחבר התראות

משתמשים במחבר ההתראות של CrowdStrike כדי לשלוף התראות מ-CrowdStrike. הרשימה הדינמית פועלת עם הפרמטר display_name.

כדי לאחזר נתונים של זיהוי איומים על הזהות, משתמשים במחבר של זיהוי איומים על הזהות.

כניסות קלט של מחברים

מחבר ההתראות של CrowdStrike דורש את הפרמטרים הבאים:

פרמטרים
Product Field Name	חובה שם שדה המקור שמכיל את השם Product Field. ערך ברירת המחדל הוא Product Name.
Event Field Name	חובה שם שדה המקור שמכיל את השם Event Field. ערך ברירת המחדל הוא product.
Environment Field Name	אופציונלי שם השדה שבו מאוחסן שם הסביבה. אם השדה environment לא נמצא, המערכת משתמשת בסביבת ברירת המחדל. ערך ברירת המחדל הוא "".
Environment Regex Pattern	אופציונלי תבנית של ביטוי רגולרי להפעלה על הערך שנמצא בשדה Environment Field Name. הפרמטר הזה מאפשר לכם לשנות את השדה environment באמצעות הלוגיקה של הביטוי הרגולרי. משתמשים בערך ברירת המחדל .* כדי לאחזר את הערך הנדרש Environment Field Name. אם תבנית הביטוי הרגולרי היא null או ריקה, או אם ערך הסביבה הוא null, התוצאה הסופית של הסביבה היא סביבת ברירת המחדל.
Script Timeout (Seconds)	חובה מגבלת הזמן הקצוב לתהליך Python בשניות, שמופעל על ידי הסקריפט הנוכחי. ערך ברירת המחדל הוא 180.
API Root	חובה שורש ה-API של מופע CrowdStrike. ערך ברירת המחדל הוא https://api.crowdstrike.com.
Client ID	חובה מזהה הלקוח של חשבון CrowdStrike.
Client Secret	חובה סוד הלקוח של חשבון CrowdStrike.
Case Name Template	אופציונלי אם מספקים את המפתח, המחבר מוסיף מפתח חדש בשם custom_case_name לאירוע Google SecOps. אפשר להשתמש במחזיקי מקום בפורמט הבא: [FIELD_NAME], למשל Phishing - [event_mailbox]. הערה: המחבר משתמש באירוע הראשון של Google SecOps בשביל placeholders. הפרמטר הזה מאפשר להשתמש רק במפתחות עם ערך מחרוזת.
Alert Name Template	אופציונלי אם מספקים ערך, המחבר משתמש בו בשביל שם ההתראה ב-Google SecOps. אפשר להשתמש במחזיקי מקום בפורמט הבא: [FIELD_NAME], למשל דיוג (פישינג) – [event_mailbox]. הערה: אם לא תציינו ערך או תספקו תבנית לא תקינה, המחבר ישתמש בשם ברירת המחדל של ההתראה. המחבר משתמש באירוע הראשון של Google SecOps עבור placeholders. הפרמטר הזה מאפשר להשתמש רק במפתחות עם ערך מחרוזת.
Lowest Severity Score To Fetch	אופציונלי ציון החומרה הנמוך ביותר של האירועים שיש לאחזר. אם לא מציינים ערך, המחבר מטמיע אירועים עם כל רמות החומרה. הערך המקסימלי הוא 100. בנוסף, המחבר תומך בערכים הבאים של הפרמטר הזה: נמוכה בינונית גבוהה קריטית בממשק המשתמש של CrowdStrike, אותו ערך מוצג כשהוא מחולק ב-10.
Max Hours Backwards	אופציונלי מספר השעות שחלפו מאז עכשיו שמהן יאוחזרו אירועים. ערך ברירת המחדל הוא 1.
Max Alerts To Fetch	אופציונלי מספר ההתראות לעיבוד באיטרציה אחת של המחבר. הערך המקסימלי הוא 100. ערך ברירת המחדל הוא 10.
Use dynamic list as a blocklist	חובה אם האפשרות הזו נבחרה, המחבר משתמש ברשימה הדינמית כרשימת חסימה. האפשרות הזו לא מסומנת כברירת מחדל.
Disable Overflow	אופציונלי אם בוחרים באפשרות הזו, המחבר מתעלם ממנגנון הגלישה. האפשרות הזו לא מסומנת כברירת מחדל.
Verify SSL	חובה אם בוחרים באפשרות הזו, האינטגרציה מוודאת שאישור ה-SSL של החיבור לשרת CrowdStrike תקף. האפשרות הזו לא מסומנת כברירת מחדל.
Proxy Server Address	אופציונלי כתובת של שרת ה-Proxy שבו רוצים להשתמש.
Proxy Username	אופציונלי שם משתמש לשרת proxy לצורך אימות.
Proxy Password	אופציונלי סיסמת proxy לאימות.
Customer ID	אופציונלי מספר הלקוח של הדייר שבו יופעל המחבר. לשימוש בסביבות Multi-tenant ‏ (MSSP).

כללים של Connectors

המחבר הזה תומך בשרתי proxy.

אירועים של מחברים

דוגמה לאירוע שמבוסס על התראות:

{
  "added_privileges": [
      "DomainAdminsRole"
  ],
  "aggregate_id": "aggind:123456789abcdef123456789abcdef12",
  "cid": "123456789abcdef123456789abcdef12",
  "composite_id": "123456789abcdef123456789abcdef12:ind:123456789abcdef123456789abcdef12",
  "confidence": 20,
  "context_timestamp": "2022-11-15T12:58:13.155Z",
  "crawl_edge_ids": {
      "Sensor": [
          "N6Fq4_]TKjckDDWI$fKO`l>_^KFO4!,Z/&o<H7_)4[Ip*h@KUG8%Xn3Fm3@]<gF_c,c1eeW\\O-J9l;HhVHA\"DH#\\pO1M#>X^dZWWg%V:`[+@g9@3h\"Q\"7r8&lj-o[K@24f;Xl.rlhgWC8%j5\\O7p/G7iQ*ST&12];a_!REjkIUL.R,/U^?]I!!*'!",
          "XNXPaK.m]6i\"HhDPGX=XlMl2?8Mr#H;,A,=7aF9N)>5*/Hc!D_>MmDTO\\t1>Oi6ENO`QkWK=@M9q?[I+pm^)mj5=T_EJ\"4cK99U+!/ERSdo(X^?.Z>^]kq!ECXH$T.sfrJpT:TE+(k]<'Hh]..+*N%h_5<Z,63,n!!*'!",
          "N6L$J`'>\":d#'I2pLF4-ZP?S-Qu#75O,>ZD+B,m[\"eGe@(]>?Nqsh8T3*q=L%=`KI_C[Wmj3?D!=:`(K)7/2g&8cCuB`r9e\"jTp/QqK7.GocpPSq4\\-#t1Q*%5C0%S1$f>KT&a81dJ!Up@EZY*;ssFlh8$cID*qr1!)S<!m@A@s%JrG9Go-f^B\"<7s8N"
      ]
  },
  "crawl_vertex_ids": {
      "Sensor": [
          "uid:123456789abcdef123456789abcdef12:S-1-5-21-3479765008-4256118348-3151044947-3195",
          "ind:123456789abcdef123456789abcdef12",
          "aggind:123456789abcdef123456789abcdef12",
          "idpind:123456789abcdef123456789abcdef12:715224EE-7AD6-33A1-ADA9-62C4608DA546"
      ]
  },
  "crawled_timestamp": "2022-11-15T14:33:50.641703679Z",
  "created_timestamp": "2022-11-15T12:59:15.444106807Z",
  "description": "A user received new privileges",
  "display_name": "Privilege escalation (user)",
  "end_time": "2022-11-15T12:58:13.155Z",
  "falcon_host_link": "https://falcon.crowdstrike.com/identity-protection/detections/123456789abcdef123456789abcdef12:ind:123456789abcdef123456789abcdef12?cid=123456789abcdef123456789abcdef12",
  "id": "ind:123456789abcdef123456789abcdef12",
  "name": "IdpEntityPrivilegeEscalationUser",
  "objective": "Gain Access",
  "pattern_id": 51113,
  "previous_privileges": "0",
  "privileges": "8321",
  "product": "idp",
  "scenario": "privilege_escalation",
  "severity": 2,
  "show_in_ui": true,
  "source_account_domain": "EXAMPLE.EXAMPLE",
  "source_account_name": "ExampleMailbox",
  "source_account_object_sid": "S-1-5-21-3479765008-4256118348-3151044947-3195",
  "start_time": "2022-11-15T12:58:13.155Z",
  "status": "new",
  "tactic": "Privilege Escalation",
  "tactic_id": "TA0004",
  "technique": "Valid Accounts",
  "technique_id": "T1078",
  "timestamp": "2022-11-15T12:58:15.397Z",
  "type": "idp-user-endpoint-app-info",
  "updated_timestamp": "2022-11-15T14:33:50.635238527Z"
}

תעסוקה

מידע נוסף על משימות זמין במאמרים הגדרת משימה חדשה ו תזמון מתקדם.

‫Crowdstrike Falcon – סנכרון התראות

אפשר להשתמש במשימה Crowdstrike Falcon - Sync Alerts כדי לסנכרן הערות וסטטוסים דו-כיוונית בין Google SecOps לבין Crowdstrike.

דרישות המשרה

כדי לוודא שהעבודה מזהה ומסנכרנת את הנתונים הנכונים, צריך לוודא שמתקיימים התנאים הבאים:

• הפנייה ב-Google SecOps חייבת להכיל את התג Crowdstrike Alert.

• אם ההתראה לא הגיעה מ-Alerts Connector או מ-Identity Protections Detection Connector, צריך להוסיף ערך של Alert_ID alert context כדי שהעבודה תזהה את הרשומה הנכונה ב-Crowdstrike.

לוגיקה תפעולית

הסנכרון של העבודה מתבצע בשני שלבים. בשלב הראשון מתבצע סנכרון של נתוני Crowdstrike עם ההתראות של Google SecOps. בשלב השני, מתבצעת סנכרון של נתוני ההתראות של Google SecOps עם ההתראות של Crowdstrike.

העבודה משתמשת ב-Max Hours Backwards לאיטרציה הראשונית. בכל הבקשות הבאות, העבודה משתמשת ב-start_time של ההתראה האחרונה שעברה עיבוד.

לוגיקת הסנכרון של התגובות

העבודה משתמשת ב-last_update_time כדי לסנן תגובות ולמנוע כניסות כפולות. הערות מסונכרנות משתמשות במבנים הבאים:

• נשלח מ-Crowdstrike: Crowdstrike {ticket_id}: {comment}

• נשלח מ-Google SecOps: Google SecOps {case_id}: {comment}

התגובות על סגירת פנייה ב-Google SecOps מסונכרנות גם עם Crowdstrike כתגובות.

מיפוי של סטטוס ופסיקה

כשסוגרים התראה ב-Google SecOps, המשימה מעדכנת את ההתראה התואמת ב-Crowdstrike עם הסטטוס Closed. העבודה גם מחילה את המיפוי הבא על פסקי דין של אנליסטים:

• אם הסיבה לסגירה היא Malicious, התוצאה של Crowdstrike מוגדרת כ-True Positive.

• אם הסיבה לסגירה היא Not Malicious, ההכרעה ב-Crowdstrike מוגדרת כ-False Positive.

• לגבי כל שאר הסיבות לסגירה, הסטטוס מוגדר כClosed ללא פסיקה.

פרמטרים של משרות

הגדרת העבודה Crowdstrike Falcon - Sync Alerts מחייבת את הפרמטרים הבאים:

פרמטר	תיאור
Environment Name	חובה. שם הסביבה שבה מתבצע החיפוש של משרות להתראות. ערך ברירת המחדל הוא Default Environment.
API Root	חובה. שורש ה-API של מופע Crowdstrike. ערך ברירת המחדל הוא https://api.crowdstrike.com.
Client ID	חובה. מזהה הלקוח של חשבון Crowdstrike.
Client Secret	חובה. סוד הלקוח של חשבון Crowdstrike.
Max Hours Backwards	חובה. מספר השעות לפני השעה הנוכחית שבהן יסונכרנו ההתראות במהלך האיטרציה הראשונה של העבודה. ערך ברירת המחדל הוא 24.
Verify SSL	חובה. אם האפשרות הזו נבחרה, השילוב מאמת את אישור ה-SSL כשמתחברים לשרת Crowdstrike. ההגדרה הזו מופעלת כברירת מחדל.

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.